Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Broadcom

Resumen de la alerta

Broadcom ha informado de dos vulnerabilidades críticas en PHP que afectan a determinados despliegues de Security Analytics y Symantec Privileged Access Manager (PAM). Ambas podrían permitir la ejecución remota de código arbitrario, aunque las condiciones concretas de exposición dependen de cómo esté integrado PHP en cada producto.

Las vulnerabilidades están identificadas como CVE-2026-109618 y CVE-2026-109619. INCIBE-CERT las clasifica con severidad crítica y señala que no existe explotación conocida de estas vulnerabilidades.

La prioridad debe centrarse en identificar las instalaciones afectadas, planificar la aplicación de las versiones correctivas publicadas o previstas por Broadcom y revisar especialmente los entornos de Security Analytics que continúen en versiones anteriores.

Recursos afectados

Los productos y versiones indicados como afectados son los siguientes:

• Security Analytics: 8.2.8, 8.3.1, 8.3.2, 8.4.1.2 y 8.4.1.3.
• Symantec Privileged Access Manager (PAM): servidor y dispositivos que incorporen una versión vulnerable de PHP. El fabricante no ha publicado un rango completo de versiones afectadas.

Según la información disponible, no están afectados los clientes y agentes de PAM, PAM Server Control, A2A, Socket Filter Agents, Windows Proxies ni Threat Analytics.

Asimismo, Broadcom indica que ASM Core y las estaciones públicas no están afectados.

Descripción de las vulnerabilidades

Los dos fallos se encuentran en PHP, componente utilizado internamente por los productos afectados. Se relacionan con errores de gestión de memoria que, bajo determinadas condiciones, podrían derivar en la ejecución de código arbitrario.

• CVE-2026-109618: tras un error provocado por falta de memoria, PHP puede dejar sin inicializar datos asociados a una petición. Durante una operación de limpieza posterior, esta situación podría permitir la ejecución remota de código.
• CVE-2026-109619: PHP puede conservar referencias globales hacia memoria que ya ha sido liberada. Si esas referencias se reutilizan en solicitudes posteriores, un atacante podría llegar a ejecutar código arbitrario.

En términos prácticos, ambos problemas afectan al tratamiento interno de la memoria. Una explotación con éxito podría permitir que un atacante ejecutase código en el sistema afectado, aunque la exposición real depende de la arquitectura e integración de PHP en cada implementación.

En el caso de Symantec PAM, Broadcom señala que el producto utiliza PHP internamente, pero no expone un servicio web PHP al exterior.

Impacto y nivel de riesgo

Las vulnerabilidades tienen severidad crítica debido a su potencial para permitir ejecución remota de código. Este tipo de impacto puede comprometer la confidencialidad, integridad y disponibilidad de los sistemas afectados, en función del código que un atacante lograse ejecutar y de los permisos disponibles en el entorno vulnerable.

No obstante, la existencia de una vulnerabilidad no implica que haya sido explotada. La información publicada indica “Explotación: No” para CVE-2026-109618 y CVE-2026-109619. Por tanto, no se han comunicado ataques activos o explotación confirmada de estos fallos.

El riesgo operativo debe valorarse atendiendo a las versiones instaladas, a la disponibilidad de las actualizaciones y a las condiciones de exposición específicas de cada despliegue.

Solución y medidas recomendadas

Broadcom ha publicado o previsto actualizaciones para los productos afectados. Las organizaciones deben aplicar la corrección correspondiente a su versión instalada.

• Symantec PAM: actualizar a 4.2.3.85, 4.2.4.85, 4.3.0.85, 4.3.1.85 o 4.3.2.85, según la rama de producto utilizada.
• Security Analytics 8.3.2: aplicar el parche previsto para la última semana de octubre cuando esté disponible. Las instalaciones en versiones anteriores deberán actualizar primero a 8.3.2. Esta versión continuará afectada hasta que se instale el parche.
• Security Analytics 8.4.1.2 y versiones posteriores: la corrección 8.4.1.4 está prevista para la segunda semana de noviembre.

Adicionalmente, Broadcom recomienda actualizar las instalaciones antiguas de OPMS, anteriores a la versión 26.8.x, a 26.8.4 o una versión posterior.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de Security Analytics y Symantec PAM presentes en la organización, junto con sus versiones exactas.
2. Priorizar la actualización de las instancias incluidas en el aviso, siguiendo las versiones correctivas indicadas por Broadcom.
3. Planificar la actualización previa a Security Analytics 8.3.2 cuando sea necesaria para poder instalar el parche previsto.
4. Confirmar que los componentes excluidos del aviso, como clientes y agentes de PAM, PAM Server Control, A2A, Socket Filter Agents, Windows Proxies y Threat Analytics, no se confundan con los servidores o dispositivos potencialmente afectados.
5. Revisar las instalaciones de OPMS anteriores a 26.8.x y actualizar a 26.8.4 o superior conforme a la recomendación del fabricante.
6. Mantener seguimiento de la disponibilidad de los parches anunciados para Security Analytics y aplicarlos tras los procesos internos de validación establecidos por la organización.