Múltiples vulnerabilidades en productos de MB connect line

Fecha de publicación 12/11/2026

Identificador

INCIBE-2026-857

Importancia

5 - Crítica

Recursos Afectados

mbCONNECT24, con firmware anterior a 2.21.6.
mymbCONNECT24, con firmware anterior a 2.21.6.

Descripción

MB connect line, en coordinación con CERT@VDE, ha publicado 2 vulnerabilidades, 1 de severidad crítica y 1 alta, en la versión de PHP integrada en mbCONNECT24 y mymbCONNECT24. Ambas forman parte de PHP2Shell y podrían permitir a un atacante remoto ejecutar código sin autenticación.

Solución

Actualizar mbCONNECT24 y mymbCONNECT24 a la versión 2.21.6 o posterior, según la ficha de seguridad de MB connect line.

Detalle

CVE-2026-109618: una gestión incorrecta del agotamiento de memoria en PHP puede dejar datos sin inicializar. Su lectura durante la limpieza de la petición podría permitir ejecutar código.
CVE-2026-109619: PHP puede conservar referencias a memoria ya liberada. El uso de esas referencias al procesar peticiones posteriores podría permitir ejecutar código.

CVE