Múltiples vulnerabilidades en productos de Festo

Fecha de publicación 03/11/2026

Identificador

INCIBE-2026-817

Importancia

5 - Crítica

Recursos Afectados

FactoryViews: desde 1.0.0 hasta 1.12.1, incluidas.
MES4: todas las versiones desplegadas con xampp.

Descripción

Festo ha publicado un aviso sobre 2 vulnerabilidades de severidad crítica de PHP, integrado en FactoryViews y en instalaciones de MES4 con xampp, que podrían permitir ejecutar código remoto en el sistema anfitrión.

Solución

Actualizar FactoryViews a 1.13.0.

Para MES4 con xampp no hay corrección disponible; aplicar las medidas del fabricante:

Para CVE-2026-109618, establecer memory_limit=-1 en php.ini.
Para CVE-2026-109619, establecer session.upload_progress.enabled=0 en php.ini y añadir MaxConnectionsPerChild 1 al final de httpd-xampp.conf. Esta última medida perjudica significativamente el rendimiento.
Restringir mediante el cortafuegos de Windows las comunicaciones con httpd.exe a los paneles HMI de las estaciones manuales autorizadas.

Detalle

CVE-2026-109618: el tratamiento de errores por agotamiento de memoria puede dejar datos sin inicializar y desembocar en ejecución remota de código.
CVE-2026-109619: la conservación de referencias globales a memoria liberada puede provocar ejecución remota de código al atender nuevas peticiones.

CVE