Múltiples vulnerabilidades en productos de Phoenix Contact
- FL WLAN 1x2x/23xx.
- FL SWITCH 2xxx.
- FL NAT 2xxx.
- FL SWITCH TSN 23xx.
- FL SWITCH 59xx.
- TC ROUTER 4xxx.
- FL TIMESERVER NTP.
- FL WLAN 11xx/21xx.
- TC EXTENDER x00x.
- SCX xPOE.
Phoenix Contact ha publicado información sobre el impacto de 2 vulnerabilidades de severidad crítica de PHP, conocidas como PHP2Shell, en varias familias de productos. En determinadas condiciones, un atacante sin autenticar podría ejecutar código en los dispositivos afectados.
Restringir el acceso de red a las conexiones necesarias para el funcionamiento de los equipos, impedir su exposición directa a redes públicas o no confiables y aplicar segmentación, cortafuegos y restricciones de acceso.
El comunicado de Phoenix Contact prevé las siguientes correcciones, todavía futuras a fecha de este aviso:
- 18/11/2026: FL WLAN 1x2x/23xx, versión 26.10.
- 18/11/2026: FL SWITCH 2xxx, FL NAT 2xxx, FL SWITCH TSN 23xx y FL SWITCH 59xx, versión 3.60.
- 02/12/2026: TC ROUTER 4xxx, versión 5.0.72.105.
- 02/12/2026: FL TIMESERVER NTP, versión 5.0.71.105.
Para FL WLAN 11xx/21xx, TC EXTENDER x00x y SCX xPOE no hay una corrección planificada. Mantener las medidas de protección indicadas por el fabricante y revisar sus comunicaciones.
- CVE-2026-109618: una gestión incorrecta de errores por agotamiento de memoria puede dejar datos de una petición sin inicializar. Su uso posterior durante la limpieza de la petición podría permitir ejecutar código remoto.
- CVE-2026-109619: determinados estados globales pueden conservar referencias a memoria de peticiones ya liberada. Su reutilización en peticiones posteriores podría permitir ejecutar código remoto.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No | PHOENIX CONTACT |
| CVE-2026-109619 | Crítica | No | PHOENIX CONTACT |
