Producten en stacks · Firewalls, appliances en IT-tools

PHP2Shell in Fortinet: getroffen en hoe op te lossen

Snel oordeel

Getroffen, en de leverancier heeft nog geen fix uitgebracht.

Status leverancier: Getroffen, nog geen fix
PHP: bundled (under investigation)
Laatst gecontroleerd: 2026-10-22

Fortinets PSIRT-advies FG-IR-26-186 (21 oktober 2026) zegt dat Fortinet de impact onderzoekt. In onderzoek: FortiADC, FortiADC Manager, FortiDDoS, FortiDDoS-F, FortiSIEM, FortiMonitor, FortiClient Cloud, FortiSOAR, FortiSOAR PaaS, FortiGuard en FortiEndpoint. Bevestigd niet getroffen: FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiMail Cloud, FortiSandbox, FortiNAC, FortiNAC-F, FortiAuthenticator, FortiSwitch, FortiAP, FortiGate Cloud, FortiSASE, FortiPAM, FortiDeceptor, FortiClient EMS en de FortiClient-apps. Daarnaast biedt FortiGuard Labs IPS-virtual patches voor beide CVE’s (signaturepakket 37.316) om andere PHP-servers te beschermen.

De PHP-versie van Fortinet controleren

Voer de opdracht voor uw opzet uit. Een versie vanaf 8.2.35, 8.3.36, 8.4.27 of 8.5.12 in de betreffende tak is gepatcht; oudere takken alleen met een leveranciersbuild die dat vermeldt.

get system status

Run it on the FortiADC or FortiDDoS CLI; for FortiSIEM and FortiSOAR, read the version in the GUI and compare it with FG-IR-26-186.

De php op de opdrachtregel kan verschillen van de PHP die de site serveert. Controleer voor de zekerheid de web-SAPI (een tijdelijke phpinfo()-pagina achter een login, of de PHP-instellingen van het paneel) en verwijder die daarna. Onze versiecontrole vergelijkt het nummer voor u.

🔎 Versienummer gevonden? Plak het in de PHP2Shell-checker →

PHP2Shell in Fortinet oplossen

Stel de beheerinterfaces van FortiADC, FortiDDoS, FortiSIEM en FortiSOAR niet bloot aan internet; maak ze alleen bereikbaar vanuit een beheernetwerk of via VPN.
Volg FG-IR-26-186 voor het oordeel per product en gepatchte versies, en installeer ze zodra ze verschijnen.
Zolang de leverancier geen gepatchte PHP levert, mag de PHP-interface niet bereikbaar zijn vanuit onvertrouwde netwerken: beperk hem tot een beheernetwerk, een IP-allowlist of een VPN.
Installeer de update van de leverancier zodra die verschijnt en controleer de versie opnieuw.

Laat u de controle liever aan een AI-agent over? Controleren of u getroffen bent · Oplossen met een AI-agent

Als u nog niet kunt patchen

Zet session.upload_progress.enabled = 0 waar applicaties het niet kunnen overschrijven (php.ini, php_admin_value in de FPM-pool of Apache-config) en herstart PHP.
Zet op PHP 8.5 fatal_error_backtraces = 0.
Het tijdelijke advies van PHP gaat ook over memory_limit en een lage post_max_size; volg de oplossingspagina precies, want deze instellingen dekken maar een deel van de paden.
Beperk de toegang (VPN, IP-allowlist) of haal de dienst offline als die op PHP 8.1 of ouder draait zonder backport van de leverancier. WAF-regels helpen, maar zijn geen fix.

FAQ

Is Fortinet getroffen door PHP2Shell?

Getroffen, en de leverancier heeft nog geen fix uitgebracht. Fortinets PSIRT-advies FG-IR-26-186 (21 oktober 2026) zegt dat Fortinet de impact onderzoekt. In onderzoek: FortiADC, FortiADC Manager, FortiDDoS, FortiDDoS-F, FortiSIEM, FortiMonitor, FortiClient Cloud, FortiSOAR, FortiSOAR PaaS, FortiGuard en FortiEndpoint. Bevestigd niet getroffen: FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiMail Cloud, FortiSandbox, FortiNAC, FortiNAC-F, FortiAuthenticator, FortiSwitch, FortiAP, FortiGate Cloud, FortiSASE, FortiPAM, FortiDeceptor, FortiClient EMS en de FortiClient-apps. Daarnaast biedt FortiGuard Labs IPS-virtual patches voor beide CVE’s (signaturepakket 37.316) om andere PHP-servers te beschermen.

Lost het bijwerken van Fortinet zelf CVE-2026-109618 en CVE-2026-109619 op?

Alleen als de update gepatchte PHP bevat. PHP2Shell is een lek in de PHP-interpreter; het gaat om de PHP waarop Fortinet draait. Controleer de versie na het bijwerken.

Welke PHP-versies lossen PHP2Shell op?

PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. PHP 8.1 en ouder krijgen geen release van het PHP-project; alleen leveranciersbuilds met backport (of een zelf gebouwde bronpatch voor 7.4, 8.0 en 8.1) lossen ze op.

Wat als er voor Fortinet nog geen fix is?

Houd de PHP-webinterface van internet af (VPN of IP-allowlist), pas de tijdelijke PHP-instellingen toe zoals het uitschakelen van session upload progress, en installeer de update van de leverancier zodra die uitkomt. Tijdelijke instellingen verkleinen het risico, maar zijn geen fix.

← Alle producten met ingebouwde PHP

Zie ook: Oplossing per platform · Getroffen versies · Status leveranciers

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Onofficiële samenvatting van openbare bronnen. Deze site is niet verbonden aan de leverancier of het PHP-project en host geen exploitcode.