Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Oracle

Resumen de la alerta

Oracle ha publicado una alerta de seguridad relativa a dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas, conocidas conjuntamente como PHP2Shell, afectan a determinados productos de Oracle Communications y a Oracle Solaris 11.

Según la información disponible, un atacante podría llegar a ejecutar código de forma remota sin necesidad de autenticarse. Por este motivo, las organizaciones que operen los productos y versiones afectadas deben priorizar la revisión y aplicación de las actualizaciones indicadas por Oracle.

INCIBE-CERT clasifica ambas vulnerabilidades con severidad crítica. No obstante, el aviso señala que no existe explotación conocida de estos CVE.

Recursos afectados

• Oracle Communications Diameter Signaling Router: 8.6.0 y 9.0.0.
• Oracle Communications EAGLE Application Processor: 17.0 y 17.1.
• Oracle Communications EAGLE Element Management System: 47.0.
• Oracle Communications EAGLE LNP Application Processor: 11.1.
• Oracle Communications LSMS: 14.0.
• Oracle Communications Performance Intelligence Center (PIC) Software: 10.4 y 10.5.
• Oracle Communications Unified Assurance: 6.1.1 a 7.0.0.
• Oracle Communications User Data Repository: 15.0.
• Oracle Solaris: 11.

Descripción de las vulnerabilidades

Los fallos identificados se localizan en PHP y están relacionados con una gestión insegura de memoria. En ambos casos, el problema podría provocar que una petición procese información de memoria que no se encuentra en un estado válido, abriendo la posibilidad de ejecutar código arbitrario.

• CVE-2026-109618: se produce durante el tratamiento de errores vinculados a una falta de memoria. En determinadas circunstancias, pueden quedar sin inicializar datos asociados a una petición. El uso posterior de esos datos podría permitir la ejecución remota de código.
• CVE-2026-109619: PHP puede mantener referencias globales hacia memoria que ya ha sido liberada. Si una petición posterior reutiliza ese estado obsoleto, podría derivar en la ejecución de código arbitrario.

La ejecución remota de código implica que un atacante podría ejecutar instrucciones en el sistema afectado a distancia. La alerta indica que este escenario sería posible sin autenticación, por lo que no requeriría disponer previamente de credenciales válidas.

Impacto y nivel de riesgo

La explotación satisfactoria de cualquiera de las dos vulnerabilidades podría permitir la ejecución remota de código arbitrario en los productos afectados. Dado que la explotación no requeriría autenticación, los activos expuestos y que utilicen las versiones indicadas merecen una atención prioritaria.

El riesgo descrito es potencial: INCIBE-CERT indica que, en el momento de publicar el aviso, la explotación de CVE-2026-109618 y CVE-2026-109619 figura como No. Por tanto, no se debe interpretar esta alerta como una confirmación de ataques activos o de explotación conocida.

Solución y medidas recomendadas

Oracle recomienda aplicar los parches específicos para cada producto afectado, siguiendo los documentos de disponibilidad e instalación publicados en su alerta de seguridad.

El parche indicado para CVE-2026-109618 también corrige CVE-2026-109619.

Recomendaciones para organizaciones afectadas

1. Identificar si la organización utiliza alguno de los productos y versiones incluidos en el aviso.
2. Priorizar la revisión de los sistemas Oracle Communications y Oracle Solaris 11 que puedan verse afectados, especialmente aquellos cuya exposición incremente el riesgo operativo.
3. Consultar la documentación de Oracle asociada a cada producto para obtener el parche aplicable y sus instrucciones de instalación.
4. Planificar y validar la aplicación de las actualizaciones conforme a los procedimientos internos de gestión de cambios.
5. Mantener seguimiento de las comunicaciones oficiales de Oracle e INCIBE-CERT ante posibles actualizaciones sobre estas vulnerabilidades.