Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP en productos de Cisco

Resumen de la alerta

Cisco ha comunicado el impacto de dos vulnerabilidades críticas del núcleo de PHP en varios de sus productos. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir la ejecución remota de código en entornos PHP vulnerables.

La severidad asignada a ambas vulnerabilidades en PHP es crítica, con una puntuación de CVSS v4.0 de 9,2. No obstante, Cisco proporciona una evaluación específica para Ultra-Reliable Wireless Backhaul (URWB): CVSS v3.1 de 6,6, de severidad media, debido a que la explotación en este producto requiere autenticación previa como administrador.

Cisco ha confirmado productos afectados, aunque no ha detallado los intervalos de versiones vulnerables. Otros productos y servicios permanecen bajo investigación por parte del fabricante.

Recursos afectados

Los productos confirmados como afectados son los siguientes:

• Expressway Series.
• Expressway Select Series.
• Ultra-Reliable Wireless Backhaul (URWB).

En el caso de URWB, un posible atacante necesitaría autenticarse con privilegios de administrador para explotar las vulnerabilidades.

Descripción de las vulnerabilidades

Las dos vulnerabilidades se localizan en el núcleo de PHP y están relacionadas con una gestión insegura de la memoria asociada a las peticiones procesadas por el entorno PHP.

• CVE-2026-109618: se produce por una gestión incorrecta de errores cuando falta memoria. Esta situación puede dejar datos internos de una petición PHP en un estado no válido y, potencialmente, permitir la ejecución remota de código.
• CVE-2026-109619: afecta a referencias globales que pueden seguir apuntando a memoria de peticiones ya liberada y reutilizarse durante solicitudes posteriores. Esta condición también podría facilitar la ejecución remota de código.

La ejecución remota de código implica que, si la vulnerabilidad se explota con éxito, un atacante podría ejecutar instrucciones en el sistema afectado. El aviso disponible describe esta capacidad como un impacto potencial y no aporta información sobre explotación confirmada.

Impacto y nivel de riesgo

El riesgo principal está asociado a la posibilidad de ejecutar código de forma remota en productos Cisco que integren los componentes PHP vulnerables. La criticidad de los CVE en PHP, con CVSS v4.0 de 9,2, exige priorizar la identificación de los activos afectados y la planificación de la actualización cuando esté disponible.

La valoración debe ajustarse al producto concreto. Para URWB, Cisco establece una puntuación de 6,6 en CVSS v3.1, de severidad media, porque la explotación requiere acceso autenticado como administrador. Este requisito limita el escenario de ataque frente a productos en los que no se haya indicado esa condición previa.

La información disponible no confirma ataques, explotación activa ni compromisos relacionados con estas vulnerabilidades. Por tanto, debe tratarse como un riesgo potencial que requiere seguimiento y preparación, sin asumir que exista explotación conocida.

Solución y medidas recomendadas

Cisco ha anunciado versiones corregidas para los productos afectados, aunque su disponibilidad todavía está pendiente:

• Expressway Series y Expressway Select Series: versión 15.5.21, con fecha de publicación por determinar.
• URWB: versión 27.1.1, prevista para febrero de 2027.

Las fechas indicadas por Cisco son estimadas y pueden cambiar. El fabricante señala que no existen soluciones alternativas que corrijan estas vulnerabilidades.

Cuando las versiones estén disponibles, las organizaciones afectadas deberán aplicar las actualizaciones correspondientes conforme a sus procedimientos de gestión de cambios.

Recomendaciones para organizaciones afectadas

1. Identificar si la organización utiliza Expressway Series, Expressway Select Series o URWB.
2. Revisar periódicamente el boletín de Cisco para conocer cambios en el estado de otros productos y servicios que continúan bajo investigación.
3. Planificar la actualización a la versión 15.5.21 en Expressway Series y Expressway Select Series cuando Cisco la publique.
4. Planificar la actualización de URWB a la versión 27.1.1 cuando esté disponible, actualmente prevista para febrero de 2027.
5. En entornos URWB, revisar el control de las cuentas con privilegios de administrador, ya que este nivel de autenticación es un requisito para la explotación indicada por Cisco.
6. Tratar las medidas preventivas de control de acceso como medidas de reducción de exposición, no como una corrección oficial de las vulnerabilidades.