Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP en productos de Mitel

Resumen de la alerta

Mitel ha comunicado el impacto de dos vulnerabilidades críticas de PHP en varios de sus productos de comunicaciones y colaboración. Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir la ejecución remota de código en las instalaciones afectadas.

La ejecución remota de código implica que un atacante podría llegar a ejecutar instrucciones en el sistema vulnerable. El alcance concreto de una intrusión dependería de las condiciones de despliegue y de los permisos asociados a los procesos afectados, aspectos que no se detallan en el aviso publicado.

INCIBE-CERT clasifica ambas vulnerabilidades con severidad crítica. El estado de explotación figura como no definido; por tanto, la información disponible no confirma ataques activos ni explotación conocida de estas vulnerabilidades.

Recursos afectados

El aviso de Mitel confirma la afectación de los siguientes productos y versiones:

• MiVoice 5000, versiones R8.4 y anteriores.
• OpenScape Branch, versiones V11R3.4.3 y anteriores.
• OpenScape SBC, versiones V11R3.4.3 y anteriores.
• OpenScape Voice Trace Manager, versiones V8 R0.12.00 y anteriores.
• MiContact Center Enterprise, versiones 9.8 SP0 FP1 y anteriores.

Mitel mantiene abierta la evaluación de otros productos. Según la información disponible, esta revisión se limita a versiones que cuentan con soporte del fabricante.

Descripción de las vulnerabilidades

Los dos fallos se encuentran relacionados con la gestión de memoria durante el procesamiento de peticiones PHP. Aunque ambos podrían derivar en ejecución remota de código, afectan a situaciones técnicas distintas.

• CVE-2026-109618: un problema al manejar el agotamiento de memoria puede provocar que determinadas estructuras de una petición PHP queden inicializadas solo de forma parcial. Si estas estructuras se procesan posteriormente, podría abrirse la posibilidad de ejecutar código de forma remota.
• CVE-2026-109619: ciertas referencias globales de PHP pueden conservar apuntadores hacia memoria que ya ha sido liberada. El uso de esas referencias durante una petición posterior podría permitir la ejecución remota de código.

En ambos casos, el origen del riesgo está en un manejo inseguro de memoria. La ejecución de código indicada por el fabricante es un impacto potencial: el aviso no aporta detalles sobre requisitos concretos de acceso, autenticación, interacción de usuarios o condiciones de explotación.

Impacto y nivel de riesgo

La severidad crítica asignada a CVE-2026-109618 y CVE-2026-109619 exige priorizar la revisión de los sistemas Mitel afectados. Una explotación exitosa podría permitir la ejecución remota de código en el entorno vulnerable.

No obstante, la existencia de una vulnerabilidad no implica que haya sido explotada. La información proporcionada no confirma explotación activa, incidentes asociados ni ataques observados que aprovechen estos CVE.

Las organizaciones deberían identificar con prioridad las instancias expuestas o accesibles desde redes no confiables, así como los sistemas que prestan servicios de comunicaciones esenciales para la operación.

Solución y medidas recomendadas

Mitel remite al artículo de su base de conocimiento de seguridad KB000128981 para consultar las medidas aplicables a cada producto. El boletín público no especifica las versiones corregidas.

Las organizaciones sin acceso a esta información deben contactar con un socio autorizado de Mitel. También conviene revisar las actualizaciones del aviso del fabricante, ya que Mitel continúa evaluando productos adicionales y puede incorporar cambios en la afectación o en las correcciones disponibles.

Recomendaciones para organizaciones afectadas

1. Identificar los activos que utilicen MiVoice 5000, OpenScape Branch, OpenScape SBC, OpenScape Voice Trace Manager o MiContact Center Enterprise en las versiones afectadas.
2. Consultar el artículo KB000128981 de Mitel y aplicar las medidas indicadas por el fabricante para cada producto.
3. Contactar con un socio autorizado de Mitel si no se dispone de acceso al contenido de la base de conocimiento.
4. Revisar periódicamente las actualizaciones del aviso MISA-2026-0008, especialmente si la organización utiliza otros productos Mitel con soporte vigente.
5. Priorizar la gestión de los sistemas que tengan mayor exposición de red o relevancia operativa, sin asumir que esta priorización sustituye las medidas oficiales del fabricante.