Múltiples vulnerabilidades en OCTO Image Server de Mettler Toledo

Fecha de publicación 29/10/2026

Identificador

INCIBE-2026-803

Recursos Afectados

OCTO Image Server, versiones 5.0.10 y anteriores, que utilicen PHP desde la versión 8.2.0 hasta la 8.2.34, ambas incluidas.

Descripción

Ryan A., de Calif, Amy Burnett, de OpenAI Codex Security, y el equipo de Wiz en colaboración con CERT@VDE, han informado sobre vulnerabilidades en PHP. Mettler Toledo ha confirmado que 2 de ellas, de severidad crítica y conocidas como PHP2Shell, afectan a OCTO Image Server y podrían permitir la ejecución remota de código.

Solución

Actualizar el componente PHP de OCTO Image Server a la versión 8.2.35, siguiendo el boletín del fabricante.

El producto está destinado a redes internas y no debe exponerse directamente a Internet.

Detalle

CVE-2026-109618: el tratamiento incorrecto de errores por agotamiento de memoria puede dejar datos de una petición sin inicializar. Su utilización durante la limpieza de la petición puede provocar corrupción de memoria y ejecución remota de código.
CVE-2026-109619: determinadas referencias globales pueden apuntar a memoria de peticiones ya liberada. Una petición posterior puede utilizar ese estado antes de reinicializarlo y permitir ejecución remota de código.

CVE