Múltiples vulnerabilidades en productos de WAGO
Fecha de publicación 03/11/2026
Identificador
INCIBE-2026-816
Importancia
5 - Crítica
Recursos Afectados
Dispositivos con wago_os_linux anterior a 4.10.4 (FW32), servidor web integrado habilitado y una versión vulnerable de PHP:
- CC100: 0751-9?0?.
- Edge Controller: 0752-8303-8000-0002.
- PFC100 G2: 0750-811?-????-????.
- PFC200 G2: 0750-821?-???-???.
- PFC300: 0750-8302.
- TP600: 0762-420?-8000-000?, 0762-430?-8000-000?, 0762-520?-8000-000?, 0762-530?-8000-000?, 0762-620?-8000-000? y 0762-630?-8000-000?.
- WP400: 0762-340?.
Descripción
WAGO ha publicado un aviso sobre 2 vulnerabilidades de severidad crítica de PHP que podrían permitir ejecutar código remoto en el proceso del servidor web de los dispositivos afectados.
Solución
En equipos con 4.9.1 (FW31), instalar el parche de seguridad IPK correspondiente del centro de descargas de WAGO. El fabricante señala 4.10.4 (FW32) como versión corregida y prescribe el parche IPK mientras FW32 no esté disponible.
Como mitigación, deshabilitar el servidor web del dispositivo desde los ajustes de seguridad.
Detalle
- CVE-2026-109618: la gestión incorrecta del agotamiento de memoria puede dejar punteros sin inicializar y permitir ejecución remota de código.
- CVE-2026-109619: referencias globales a memoria ya liberada pueden reutilizarse en peticiones posteriores y permitir ejecución remota de código.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No | WAGO |
| CVE-2026-109619 | Crítica | No | WAGO |
Listado de referencias
Etiquetas
