PHP2Shell
Op 20 oktober 2026 zijn details uitgelekt over twee kritieke kwetsbaarheden in PHP, bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619, CVSS v4.0 9.2). Volgens de beschikbare informatie kunnen deze kwetsbaarheden leiden tot het op afstand uitvoeren van code zonder authenticatie. Het PHP-securityteam heeft op 21 oktober 2026 beveiligingsupdates uitgebracht.
Graag brengen wij je op de hoogt wat voor impact dit heeft op de producten en diensten van ARAS.
Impact
Deze producten/systemen worden wél beinvloed door PHP2Shell
CardAccess ACAAS
Een gedeelte van de firewalls in gebruik voor CardAccess ACAAS maken wel gebruik van PHP, maar alleen op de interne interface. Wij nemen contact met je op als hiervoor een update nodig is bij jouw systemen.
Commend
De Symphony cloud maakt wel gebruik van PHP, maar is inmiddels geupdate. Daarnaast zijn een drietal producten getroffen, welke door ARAS nog nooit verkocht zijn.
Voor meer informatie, raadpleeg de CSA-2026-72-V10-1026.pdf van Commend.
Nog onduidelijk
Van onderstaande fabrikanten hebben wij nog geen uitsluitsel gekregen:
- Intratone
- SmartLiberty
- De SmartLiberty software zelf gebruikt geen PHP. Het onderzoek naar randapparatuur zoals IO modules loopt nog.
- Eocortex
- Add-Secure
- Teltonika
- HDCVT
Geen impact
Deze producten/systemen zijn niet beïnvloed door PHP2Shell - bevestigd door de fabrikant.
CardAccess
CardAccess 4k maakt geen gebruik van PHP. Hierbij de officiële verklaring van de leverancier.
Paxton
In geen van de producten van Paxton wordt PHP gebruikt.
Phera
Phera maakt geen gebruik van PHP.
Avigilon Alta
Hier wordt geen gebruik gemaakt van PHP.
Omada
Hier wordt geen gebruik gemaakt van PHP.
Secury 360
Hier wordt geen gebruik gemaakt van PHP.
UNV
Hier wordt geen gebruik gemaakt van PHP.
Smartlink
Hier wordt geen gebruik gemaakt van PHP.
STiD
De STiD producen en service maken geen gebruik van PHP.
Nedap
De Nedap website & portal zijn tijdelijk offline geweest en ondertussen geupdate. De producten van Nedap maken geen gebruik van PHP.
Ajax
De producten en de cloud diensten van Ajax maken geen gebruik van PHP.
IQSight
De producten en de cloud diensten van IQSight maken geen gebruik van PHP.
NOX Systems
De NOX Systems website & portal zijn tijdelijk offline geweest en ondertussen geupdate. De producten van NOX Systems maken geen gebruik van PHP.
Robert Bosch
De producten van Robert Bosch maken geen gebruik van PHP.
Simons Voss
De producten van Simons Voss maken geen gebruik van PHP.