Node2Shell et PHP2Shell dans les produits OT Siemens : cinq avis CISA (ICSA-26-316-01 à -05)

En bref

Le 12 novembre 2026, la CISA a republié cinq avis Siemens, ICSA-26-316-01 à -05. Ils remontent à deux failles dans des bibliothèques open source. La première est CVE-2026-111497, une écriture hors limites (out-of-bounds write) dans le décodeur Google Brotli, que Siemens appelle Node2Shell (CVSS v3.1 9,8). La seconde regroupe deux failles use-after-free de PHP, CVE-2026-109618 (9,8) et CVE-2026-109619 (8,1), que Siemens appelle PHP2Shell. Les trois permettent l'exécution de code à distance sans authentification, et les trois figurent dans le catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities) de la CISA.

Les deux bibliothèques touchent un large éventail de produits Siemens : les systèmes de gestion de l'énergie Spectrum Power, l'automatisation du bâtiment Desigo CC, Gridscale X, les applications Industrial Edge, et le RUGGEDCOM APE1808, la plateforme durcie qui héberge un pare-feu Palo Alto Networks PAN-OS en environnement industriel. Plusieurs produits ne disposent d'aucun correctif, et, pour l'un d'eux, aucun n'est prévu.

Pour ces serveurs, tout se joue sur qui peut les atteindre. Retirez-les du réseau plat, autorisez les utilisateurs nommés sur les ports dont ils ont besoin, et enregistrez les sessions jusqu'à ce que Siemens publie un correctif.

Ce que disent les avis

Chaque avis CISA republie un avis Siemens ProductCERT (SSA) initialement publié entre le 23 et le 30 octobre 2026.

Siemens indique également des scores CVSS v4.0 de 9,2 pour ces CVE dans ses propres avis.

Les produits PHP dans ICSA-26-316-01, produit par produit :

Les correctifs Brotli dans ICSA-26-316-02 et -03. Desigo CC V8 et V9 sont corrigés en installant les dernières mises à jour de sécurité .NET via Windows Update. Gridscale X DSA passe en V5.4 et Gridscale X PSS®E en V36.8.0. Sur Industrial Edge, Cloud Connector Configurator passe en V1.24.3, Data Flow Monitoring en V3.0.18, Databus Configurator en V4.0.1, DataXess Configurator en V1.5.7, Edge OPC UA Server Configurator en V2.3.10 et Flow Creator Configurator en V1.15.1. Siemens a corrigé Industrial Edge Hub et Industrial Edge Management Cloud de son côté, sans action requise de la part des utilisateurs.

Common Configurator ne dispose d'aucun correctif. Pour Common Configurator sur IEM, Siemens recommande de désinstaller toutes les applications de gestion et de protéger l'instance IEM avec un pare-feu ou un WAF. Pour Common Configurator sur Device, il recommande d'arrêter l'application. Si aucune application de gestion n'est installée, Siemens indique qu'aucune action n'est requise, car la bibliothèque Brotli est présente mais non utilisée. Nous avons déjà traité une autre faille IEM, sans rapport avec celle-ci, dans l'article sur la réinitialisation du mot de passe Industrial Edge Management.

Secteurs. La CISA classe ICSA-26-316-01 dans le secteur Énergie, -02 dans Fabrication critique, Énergie et Technologies de l'information, et -03, -04 et -05 dans Fabrication critique. Tous sont déployés dans le monde entier.

État de l'exploitation

Les deux bibliothèques ont été corrigées en amont fin octobre. PHP a publié les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 le 21 octobre 2026, et la CISA a émis une alerte le même jour appelant à une mise à jour immédiate. Le correctif Brotli est intégré dans les versions 1.0.10, 1.1.1 et 1.2.1, selon les avis.

La CISA a ajouté CVE-2026-109618 et CVE-2026-109619 au catalogue KEV le 26 octobre 2026, et CVE-2026-111497 le 27 octobre 2026. Le catalogue était à la version 2026.11.10 lorsque nous l'avons consulté le 12 novembre.

Palo Alto Networks signale une exploitation active des failles PHP contre les interfaces de gestion PAN-OS exposées sur Internet. La société indique ne pas avoir connaissance d'une exploitation malveillante de la faille Brotli dans ses produits. Aucun des cinq avis Siemens ne signale d'exploitation d'un produit Siemens.

Comment les failles atteignent un réseau OT

PHP2Shell est un problème de serveur web. Les failles résident dans la façon dont PHP gère une requête qui manque de mémoire, et dans un état qui persiste d'une requête à l'autre. L'avis PHP pour CVE-2026-109618 confirme qu'Apache mod_php est exploitable via HTTP avec les paramètres par défaut. Dans les produits Siemens, PHP fait tourner les interfaces web : consoles de supervision basées sur NagiosXI ou Zabbix, le Web Office Portal de Spectrum Power 4, et l'interface de gestion PAN-OS ainsi que l'API XML. Quiconque peut envoyer des requêtes HTTP vers ces pages peut tenter l'exploitation.

Node2Shell est un problème de décompression. Tout service qui décode un flux Brotli provenant d'un émetteur non fiable peut être ciblé par un flux malformé. Sur l'APE1808, Palo Alto indique que l'exposition est plus limitée : seuls les pare-feux qui inspectent le trafic Brotli avec le déchiffrement TLS activé sur le plan de données sont exposés ; l'interface de gestion n'est pas affectée, et PAN-OS 10.2 et 11.1 ne sont pas concernés. L'encodage Brotli est désactivé par défaut dans PAN-OS 11.2.4 et versions ultérieures ; un pare-feu n'est donc exposé que si quelqu'un l'a activé. La solution de contournement consiste à le désactiver.

Le tableau fait correspondre les failles au référentiel MITRE ATT&CK for ICS. Il décrit ce que permettent les failles, ainsi que l'exploitation PAN-OS signalée par Palo Alto. Il ne décrit pas une attaque observée sur un produit Siemens.

Pourquoi ce problème se répète

Les logiciels industriels sont construits à partir des mêmes bibliothèques que les logiciels web. PHP et Brotli sont omniprésents sur Internet ; quand une faille y apparaît, le correctif arrive vite sur les serveurs web. Il atteint un système de gestion de l'énergie ou un serveur d'automatisation du bâtiment bien plus tard, car chaque fournisseur doit localiser la bibliothèque, recompiler, tester et publier. Siemens a publié ses avis dans les dix jours suivant les correctifs PHP. Trois semaines après ces correctifs, certains de ses produits n'en disposent toujours pas.

Le pare-feu figure lui aussi sur la liste. Le RUGGEDCOM APE1808 a précisément pour rôle d'héberger un pare-feu au plus près des équipements. Selon Palo Alto, les failles PHP atteignent l'interface web de gestion PAN-OS et l'API XML, de sorte que l'APE1808 hérite de PHP2Shell. Nous avions fait la même remarque à propos de la variante FortiOS dans l'article APE1808 FortiOS. Un équipement de sécurité fait lui aussi l'objet d'avis de sécurité ; il ne doit donc pas être le seul rempart d'un segment.

La mise à jour des serveurs OT prend du temps. Une mise à jour de Spectrum Power dans un centre de contrôle nécessite des tests et une fenêtre de maintenance. Notre article sur la gestion des correctifs en environnement opérationnel explique pourquoi. Lorsqu'il n'existe aucun correctif, cette fenêtre n'existe même pas encore.

Que faire, quelle que soit votre configuration

Identifiez les bibliothèques. Listez tous les produits Siemens des cinq avis, puis déterminez quels autres serveurs de vos installations exécutent PHP ou décodent du Brotli. L'alerte PHP de la CISA demande de recenser PHP partout où il est embarqué dans d'autres logiciels, et pas seulement sur les serveurs web.

Appliquez les correctifs disponibles. Cela couvre Desigo CC, Gridscale X, la plupart des applications Industrial Edge, Spectrum Power 3, 7 et TG, Energy Engage V3.1SP1 et bt-monitoring-vm. Sur l'APE1808, Palo Alto liste les correctifs disponibles par branche PAN-OS. Notez que 11.2.10-h16 corrige uniquement PHP, tandis que 11.2.10-h17 corrige les deux.

Sécurisez l'interface de gestion PAN-OS. Palo Alto recommande de limiter l'accès d'administration aux adresses internes de confiance ou à un hôte de rebond unique. Vérifiez si un profil de gestion est associé à une interface du plan de données, car cela expose également l'interface web à cet endroit.

Contenez ce que vous ne pouvez pas corriger. Pour AMIS TS, blueplanet, Spectrum Power 4 et Energy Engage V2.0SP9, limitez l'accès à l'interface web aux opérateurs et systèmes nommés qui l'utilisent. Maintenez-la hors d'Internet et hors du réseau métier. Arrêtez ou désinstallez Common Configurator, comme le recommande Siemens.

Comment Access Gate aide, et ses limites

Access Gate est un équipement installé sur chaque site. Il se connecte en parallèle de votre réseau existant. Une route sur le routeur actuel fait ensuite passer par lui le trafic destiné aux serveurs de votre choix. Rien n'est installé sur le serveur Siemens. L'installation prend une journée par site. L'article sur l'architecture Lollipop explique la conception.

Une règle par serveur détermine qui accède à chaque interface web. Les listes de contrôle d'accès sont en refus par défaut. Une règle autorise les postes de travail de la salle de contrôle à accéder au Web Office Portal de Spectrum Power 4 via HTTPS. Aucun autre hôte n'a de route vers lui, ce qui élimine la plupart des émetteurs susceptibles d'envoyer une requête PHP2Shell.

Chaque personne s'authentifie d'abord nommément. Un access screen exige une authentification via l'annuaire avant que le poste de travail n'atteigne le serveur. L'accès expire après 15 minutes, 1 heure ou 8 heures.

Les sessions d'administration sont nominatives. Avec la gestion des accès privilégiés, les sessions RDP et SSH vers le serveur et les accès HTTPS aux interfaces d'administration web (consoles PAN-OS ou IEM, par exemple) s'ouvrent dans une session navigateur nominative et limitée dans le temps. Les sessions RDP et SSH sont enregistrées. Chaque modification de règle est consignée dans l'historique des modifications d'enclave.

Ces limites existent bel et bien. Access Gate ne corrige ni PHP ni Brotli, et ne détecte pas ces CVE. Un utilisateur autorisé peut toujours envoyer une requête malveillante vers un serveur qu'il a le droit de joindre. Access Gate ne modifie pas ce que le pare-feu APE1808 décode sur son propre plan de données ; désactiver l'encodage Brotli ou mettre à niveau PAN-OS reste donc la solution dans ce cas. Les vrais correctifs restent ceux de Siemens et de Palo Alto. Voir aussi identité OT, accès distant sécurisé et réseau électrique.

Que faire cette semaine

1. Listez tous les produits des cinq avis, avec leur version et le SSA qui les couvre.
2. Consultez les entrées KEV pour CVE-2026-109618, CVE-2026-109619 et CVE-2026-111497, et définissez les priorités en conséquence.
3. Vérifiez si une interface de gestion PAN-OS répond depuis Internet ou depuis le réseau métier.
4. Exécutez show system setting brotli sur chaque APE1808 sous PAN-OS 11.2.4 ou version ultérieure, et désactivez l'encodage Brotli si vous ne pouvez pas encore mettre à niveau.
5. Appliquez les correctifs disponibles sur Desigo CC, Gridscale X, Industrial Edge, Spectrum Power 3, 7 et TG.
6. Arrêtez ou désinstallez Common Configurator sur IEM et sur les équipements.
7. Limitez l'accès de chaque serveur PHP non corrigé aux utilisateurs nommés et aux sessions d'administration enregistrées.

Vous souhaitez voir où un équipement s'intégrerait dans votre installation ? Construisez votre réseau en quelques minutes. Tous les autres avis que nous avons traités sont disponibles dans l'archive des avis de sécurité ICS.

Sources : avis ICS de la CISA ICSA-26-316-01, ICSA-26-316-02, ICSA-26-316-03, ICSA-26-316-04 et ICSA-26-316-05 (12 novembre 2026) ; Siemens ProductCERT SSA-166980, SSA-045512, SSA-443410, SSA-898633 et SSA-566512 ; avis Palo Alto Networks pour CVE-2026-109618 et CVE-2026-111497 ; l'avis PHP GHSA-w8hw-w9fx-j79w ; la version Brotli v1.2.1 ; l'alerte PHP de la CISA ; le catalogue des vulnérabilités exploitées connues de la CISA, version 2026.11.10, consulté le 12 novembre 2026 ; et MITRE ATT&CK for ICS. Confirmez les versions affectées et les étapes de mise à jour auprès de Siemens et Palo Alto Networks avant toute modification d'un système en production.