Múltiples vulnerabilidades en productos de Hikvision

Fecha de publicación 26/10/2026

Identificador

INCIBE-2026-785

Importancia

5 - Crítica

Recursos Afectados

Hybrid SAN, versiones V2.3.9-8 y anteriores:

DS-A71024/48/72R.
DS-A80624/48S.
DS-A81016/24/36/48/72S.
DS-A72024/48/72R.
DS-A80316/24/36/48S.
DS-A83024S.
DS-A82024S.
DS-A82024/48D.

Cluster Storage, versiones V1.1.4 y anteriores:

DS-A71024/48R-CVS.
DS-A81016S-CVS.
DS-A72024/48/72R-CVS.
DS-A72024/48/72RH-CVS.

Descripción

[AVISO PRELIMINAR]

Hikvision ha publicado un aviso sobre 2 vulnerabilidades críticas de PHP que afectan a Hybrid SAN y Cluster Storage y podrían permitir a un atacante remoto sin autenticación ejecutar código mediante peticiones especialmente diseñadas. La investigación continúa abierta.

Solución

Para Hybrid SAN, instalar el paquete de mitigación enlazado en el boletín del fabricante.

Las versiones V2.3.4-2 y posteriores permiten su instalación directa; las anteriores deben actualizarse primero a V2.3.4-2.

El paquete desactiva PHP-Web por defecto y mantiene el funcionamiento del almacenamiento. La actualización de PHP continúa en validación.

Para Cluster Storage, contactar con la oficina local de Hikvision.

Detalle

CVE-2026-109618: PHP puede dejar datos de una petición sin inicializar al interrumpirla por falta de memoria. Su utilización posterior podría permitir ejecutar código de forma remota.
CVE-2026-109619: PHP puede conservar referencias a memoria liberada. Su utilización por peticiones posteriores atendidas por el mismo proceso podría permitir ejecutar código arbitrario.

CVE