PHP2Shell

Op 20 oktober 2026 zijn details uitgelekt over twee kritieke kwetsbaarheden in PHP, bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619, CVSS v4.0 9.2). Volgens de beschikbare informatie kunnen deze kwetsbaarheden leiden tot het op afstand uitvoeren van code zonder authenticatie. Het PHP-securityteam heeft op 21 oktober 2026 beveiligingsupdates uitgebracht.

Graag brengen wij je op de hoogt wat voor impact dit heeft op de producten en diensten van ARAS.

Impact

Deze producten/systemen worden wél beinvloed door PHP2Shell

CardAccess ACAAS

Een gedeelte van de firewalls in gebruik voor CardAccess ACAAS maken wel gebruik van PHP, maar alleen op de interne interface. Wij nemen contact met je op als hiervoor een update nodig is bij jouw systemen.

Commend

De Symphony cloud maakt wel gebruik van PHP, maar is inmiddels geupdate. Daarnaast zijn een drietal producten getroffen, welke door ARAS nog nooit verkocht zijn.

Voor meer informatie, raadpleeg de CSA-2026-72-V10-1026.pdf van Commend.

Nog onduidelijk

Van onderstaande fabrikanten hebben wij nog geen uitsluitsel gekregen:

Keenfinity
~~Nedap~~
Ajax
IQsight
Intratone
SmartLiberty
- De SmartLiberty software zelf gebruikt geen PHP. Het onderzoek naar randapparatuur zoals IO modules loopt nog.
NOX
Robert Bosch
Eocortex
Add-Secure
Teltonika
HDCVT

Geen impact

Deze producten/systemen zijn niet beïnvloed door PHP2Shell - bevestigd door de fabrikant.

CardAccess

CardAccess 4k maakt geen gebruik van PHP.

Paxton

In geen van de producten van Paxton wordt PHP gebruikt.