Múltiples vulnerabilidades en productos de Helmholz
Fecha de publicación 12/11/2026
Identificador
INCIBE-2026-856
Importancia
5 - Crítica
Recursos Afectados
- myREX24V2, con firmware anterior a 2.21.6.
- myREX24V2.virtual, con firmware anterior a 2.21.6.
Descripción
Helmholz, en coordinación con CERT@VDE, ha publicado 2 vulnerabilidades, 1 de severidad crítica y 1 alta, en la versión de PHP integrada en myREX24V2 y myREX24V2.virtual. Ambas forman parte de PHP2Shell y podrían permitir a un atacante remoto ejecutar código sin autenticación.
Solución
Actualizar myREX24V2 y myREX24V2.virtual a la versión 2.21.6 o posterior, según la ficha de seguridad de Helmholz.
Detalle
- CVE-2026-109618: una gestión incorrecta del agotamiento de memoria en PHP puede dejar datos sin inicializar. Su lectura durante la limpieza de la petición podría permitir ejecutar código.
- CVE-2026-109619: PHP puede conservar referencias a memoria ya liberada. El uso de esas referencias al procesar peticiones posteriores podría permitir ejecutar código.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No | HELMHOLZ |
| CVE-2026-109619 | Crítica | No | HELMHOLZ |
Listado de referencias
