Zuvor, das IRMA® System ist nicht betroffen! Kurzinfo am Ende dieser News.
informationen zur Schwachstellen
Mit der Bezeichnung PHP2Shell sind zwei Schwachstellen für die Skriptsprache PHP bekannt geworden: CVE-2026-109618 und CVE-2026-109619. Diese wurden am 21.10.2026 veröffentlicht. Werden diese Schwachstellen aktiv ausgenutzt, kann es einem Angreifer gelingen, aus der Ferne Schadcode auf einen Webserver mit PHP-Anwendung auszuführen. Dies kann ggfs. sogar ohne weitere Anmeldedaten stattfinden. Für die Schwachstellen wurde ein CVSS von 9,2 von 10 definiert. Der CVS-Score dient der Einschätzung der Gefährdungslage, sofern die Schwachstelle ausgenutzt wird. Gelingt es Angreifern dies zu tun, geht gemäß dieser Einschätzung ein potenziell hohes Risiko von der ausgenutzten Schwachstelle auf das System aus. Das PHP-Projekt hat noch am gleichen Tag Informationen und Sicherheitsupdate bereitgestellt, um die identifizierte Schwachstelle zu schließen. Das BSI veröffentlicht unter BITS-H Nr. 2026-297981-1032 weiterführende
Informationen.
Mitigierung der Schwachstelle
Ein erster sinnvoller Schritt im Umgang mit der Schwachstelleninformation ist zu prüfen, ob Systeme von diesem Angriffsszenario potenziell betroffen sind. Umgebungen, die von der Schwachstelle betroffen sind, schließen diese mit dem Update auf die vom PHP-Projekt bereitgestellten Sicherheitsupdates für die jeweilige Miner-Version.
Bereits erstellte Regeln von EDR-, NDR- bzw. SIEM-Systemen können angewendet bzw. als Vorlage für die Identifikation der Schwachstelle im Sicherheits-Prozess genutzt werden.
Relevanz für IRMA®
Die IRMA ®Weboberfläche ist eine gehärtete grafische Bedienoberfläche (GUI) als Teil des IRMA® Systems. Das IRMA® System verwendet kein PHP. Die gemeldete Schwachstellevphp2shell kann auf einem IRMA® System nicht angewendet werden.
HINWEIS: IRMA®, als System zur Angriffserkennung für die OT detektiert ohne weiotere Konfiguration anomale Netzwerkkommunikation und so kann die Ausnutzung dieser Schwachstelle im Netzwerk identifizieren und entsprechend Alarmieren.
Für die Identifikation von Geräten mit möglicher Verwundbarkeit in der Anlage lassen sich die webbasierten Kommunikationen in der Anlage (Ports: 80, 443, 8080, herstellerspezifischen Ports und Dienste: HTTP, HTTPS,…) einfach im IRMA® System Filtern und die Geräte, System und Anwendungen Prüfen.