Vulnerabilidades y Avisos de Seguridad: Impacto de vulnerabilidades críticas de PHP y Java en entornos de Sage CRM

Resumen de la alerta

Sage ha emitido comunicaciones sobre tres vulnerabilidades críticas que pueden afectar a determinados entornos de Sage CRM. Dos de ellas corresponden a PHP y afectan a aplicaciones o integraciones de terceros conectadas al CRM que utilicen versiones vulnerables de este lenguaje. La tercera afecta a Oracle JRE 8 y debe evaluarse específicamente en el entorno Java utilizado por Apache Tomcat.

La arquitectura estándar de Sage CRM no utiliza PHP, por lo que el producto no queda afectado directamente por las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. El riesgo se concentra en componentes adicionales, integraciones o desarrollos de terceros que empleen un entorno PHP vulnerable y tengan acceso al CRM.

Sage también ha aplazado el lanzamiento de Sage CRM 2026 R2 mientras analiza el posible impacto de CVE-2026-91403 en Eclipse Temurin OpenJRE 8 y 11 y valida una solución. Por el momento, no ha confirmado una vía de explotación directa mediante las funciones estándar del CRM.

Las tres vulnerabilidades están clasificadas como críticas. Según la información disponible, no existe explotación conocida de estos CVE.

Recursos afectados

• Aplicaciones, desarrollos e integraciones de terceros conectados a Sage CRM que utilicen una versión vulnerable de PHP.
• Instalaciones de Sage CRM que empleen una versión afectada de Oracle JRE 8 en el entorno Java utilizado por Apache Tomcat.
• Entornos basados en Eclipse Temurin OpenJRE 8 y 11, cuyo posible impacto continúa siendo investigado por Sage.

La instalación estándar de Sage CRM no utiliza PHP. Por tanto, una instalación sin integraciones PHP adicionales no está directamente afectada por las vulnerabilidades de PHP descritas en este aviso.

Descripción de las vulnerabilidades

Las vulnerabilidades identificadas afectan a dos componentes tecnológicos distintos: PHP utilizado por integraciones externas y Java empleado en determinados despliegues con Apache Tomcat.

• CVE-2026-109618: vulnerabilidad en PHP relacionada con un tratamiento incorrecto del agotamiento de memoria. Esta situación puede dejar datos sin inicializar y permitir la ejecución remota de código.
• CVE-2026-109619: problema en PHP por el que pueden mantenerse referencias a memoria liberada y reutilizarse en solicitudes posteriores. La explotación podría permitir la ejecución de código arbitrario.
• CVE-2026-91403: vulnerabilidad de JSSE en Oracle Java vinculada a certificados de autoridades de certificación comprometidos. Un atacante remoto sin autenticación podría suplantar servicios y acceder a los datos transmitidos por aplicaciones Java o modificarlos.

En los casos de PHP, el riesgo no procede de la funcionalidad nativa de Sage CRM, sino de la posible exposición introducida por una integración de terceros vulnerable. Si dicha integración dispone de credenciales o permisos sobre el CRM, un compromiso podría afectar a la información accesible mediante esos permisos.

Impacto y nivel de riesgo

La severidad asignada a los tres identificadores es crítica, debido a las consecuencias potenciales asociadas a una explotación exitosa.

Las vulnerabilidades de PHP podrían permitir la ejecución remota o arbitraria de código en la integración afectada. Si esa integración almacena credenciales o cuenta con acceso a Sage CRM, el atacante podría llegar a exponer credenciales y acceder a datos del CRM dentro del alcance de los permisos otorgados a dicho componente.

En el caso de CVE-2026-91403, el impacto potencial se relaciona con la suplantación de servicios y el acceso o modificación de información transmitida por aplicaciones Java. La fuente indica que un atacante remoto no necesitaría autenticación para intentar aprovechar esta vulnerabilidad.

No se ha informado de explotación activa o conocida para CVE-2026-109618, CVE-2026-109619 ni CVE-2026-91403. La existencia de una vulnerabilidad crítica no implica por sí misma que una organización haya sido comprometida, pero requiere identificar con rapidez los componentes realmente utilizados en cada entorno.

Solución y medidas recomendadas

Para las integraciones afectadas por las vulnerabilidades de PHP, no se requiere un parche de Sage CRM. La corrección debe aplicarse sobre el entorno PHP utilizado por la aplicación o integración de terceros.

• Identificar todas las integraciones conectadas a Sage CRM que utilicen PHP.
• Actualizar el entorno PHP a una versión corregida y compatible.
• Confirmar con el proveedor o responsable de cada integración que los parches correspondientes se han aplicado.
• Revisar los permisos concedidos a las integraciones, las credenciales utilizadas y los registros disponibles.

Para CVE-2026-91403, debe comprobarse qué entorno Java utiliza realmente Apache Tomcat y aplicar la actualización correspondiente a dicho entorno. Actualizar Java en el servidor no garantiza que Tomcat esté utilizando esa instalación concreta.

Cuando no sea posible actualizar Oracle Java, Sage indica que deben seguirse las mitigaciones de Oracle relacionadas con la confianza y la revocación de certificados.

Antes de realizar cambios, conviene respaldar la configuración existente. Tras actualizar PHP o Java, deben verificarse el funcionamiento de Apache Tomcat y de las integraciones conectadas al CRM.

Recomendaciones para organizaciones afectadas

1. Inventariar las integraciones de terceros vinculadas a Sage CRM e identificar cuáles utilizan PHP.
2. Determinar la versión y el entorno PHP efectivo de cada integración, priorizando aquellas que gestionen credenciales o acceso a datos del CRM.
3. Comprobar la instalación Java empleada por Apache Tomcat, sin asumir que coincide con la versión Java configurada a nivel general del servidor.
4. Aplicar las actualizaciones compatibles disponibles para los componentes PHP y Java identificados.
5. Revisar los permisos concedidos a las integraciones y limitar el acceso a los datos del CRM al mínimo necesario.
6. Analizar los registros de las integraciones, Tomcat y los accesos al CRM como medida de revisión posterior a los cambios.
7. Seguir las comunicaciones de Sage sobre la investigación de Eclipse Temurin OpenJRE 8 y 11 y sobre la disponibilidad de Sage CRM 2026 R2.