Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP en productos Fortinet

Resumen de la alerta

Fortinet está analizando el posible impacto de dos vulnerabilidades críticas identificadas en el núcleo de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas podrían permitir la ejecución remota de código, una situación que, de explotarse con éxito, permitiría a un atacante ejecutar código en el sistema afectado.

El fabricante todavía no ha confirmado qué versiones de sus productos están afectadas. Por tanto, las organizaciones que utilicen las soluciones incluidas en el aviso deben tratar esta situación como un riesgo potencial y seguir las actualizaciones de Fortinet.

La información disponible señala que watchTowr ha comunicado intentos de explotación activa de las vulnerabilidades de PHP. Sin embargo, este hecho no confirma que esos intentos estén dirigidos contra productos Fortinet ni que exista explotación confirmada de las soluciones del fabricante.

Recursos afectados

Fortinet está investigando el alcance de estas vulnerabilidades en los siguientes productos:

• FortiADC y FortiADC Manager.
• FortiDDoS y FortiDDoS-F.
• FortiSIEM y FortiMonitor.
• FortiClient Cloud.
• FortiSOAR y FortiSOAR PaaS.
• FortiGuard y FortiEndpoint.

En el momento de la publicación, Fortinet no ha indicado las versiones concretas afectadas de estos productos.

Descripción de las vulnerabilidades

Las dos vulnerabilidades se encuentran en PHP, un componente empleado para procesar solicitudes y ejecutar código en entornos web. El problema se relaciona con la gestión de memoria y del estado interno de las peticiones.

CVE-2026-109618 puede provocar ejecución remota de código mediante corrupción de memoria durante el tratamiento de errores ocasionados por falta de memoria. Según la información disponible, una petición multipart puede agotar la memoria mientras PHP procesa la solicitud, desencadenando la condición vulnerable.

CVE-2026-109619 también podría permitir ejecución remota de código. En este caso, el origen del fallo es el uso de un estado global obsoleto tras producirse un error fatal. Parte de la información asociada a una petición podría permanecer referenciada por el proceso y utilizarse posteriormente durante otra solicitud.

Impacto y nivel de riesgo

Ambas vulnerabilidades tienen severidad crítica y su impacto potencial es la ejecución remota de código. Este tipo de impacto puede permitir que un atacante ejecute instrucciones en un sistema vulnerable, dentro del contexto disponible para el componente afectado.

La explotación activa contra productos Fortinet no está confirmada. Aunque se han informado intentos de explotación de ambas vulnerabilidades en PHP, el impacto específico en los productos de Fortinet continúa en investigación.

La ausencia de versiones afectadas confirmadas exige revisar el inventario de productos indicados por Fortinet y mantener una vigilancia activa sobre los avisos del fabricante.

Solución y medidas recomendadas

Para los productos de Fortinet, se debe consultar el aviso FG-IR-26-186 y aplicar las actualizaciones que publique el fabricante para cada producto afectado.

En instalaciones independientes de PHP, la actualización recomendada depende de la rama utilizada. Las versiones corregidas indicadas son:

• PHP 8.2.35.
• PHP 8.3.36.
• PHP 8.4.27.
• PHP 8.5.12.

Las actualizaciones deben aplicarse tras el proceso habitual de evaluación y validación de cambios de cada organización.

Recomendaciones para organizaciones afectadas

1. Identificar si la organización utiliza alguno de los productos Fortinet incluidos en el aviso.
2. Revisar las comunicaciones y actualizaciones publicadas por Fortinet en relación con el aviso FG-IR-26-186.
3. Priorizar la aplicación de las actualizaciones del fabricante cuando se confirme la afectación de un producto o versión concreta.
4. Comprobar las instalaciones independientes de PHP y actualizar a la versión corregida correspondiente a la rama desplegada.
5. Mantener seguimiento de la evolución del aviso, dado que Fortinet continúa evaluando el alcance de estas vulnerabilidades en sus productos.