Múltiples vulnerabilidades en SMART EMS de Welotec
Fecha de publicación 30/10/2026
Identificador
INCIBE-2026-813
Importancia
5 - Crítica
Recursos Afectados
SMART EMS Web Application: todas las versiones anteriores a 3.5.4.
Descripción
lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai han informado sobre 2 vulnerabilidades de severidad crítica en PHP, conocidas como PHP2Shell, que afectan a SMART EMS de Welotec. Su explotación podría permitir ejecutar código remotamente sin autenticación, con los permisos del proceso PHP y del contenedor de la aplicación.
Solución
Actualizar SMART EMS a la versión 3.5.4 o posterior, según el documento CSAF del fabricante.
Mientras se aplica la actualización, evitar la exposición directa de su interfaz web a Internet y restringir el acceso a equipos de administración de confianza mediante segmentación, cortafuegos o VPN.
Detalle
- CVE-2026-109618: la gestión incorrecta del agotamiento de memoria puede dejar datos de una petición sin inicializar. Su utilización durante la limpieza puede provocar corrupción de memoria y ejecución remota de código.
- CVE-2026-109619: determinadas referencias globales de PHP pueden seguir apuntando a memoria ya liberada. Una petición posterior puede utilizar ese estado antes de reinicializarlo y permitir ejecución remota de código.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No | WELOTEC |
| CVE-2026-109619 | Crítica | No | WELOTEC |
Listado de referencias
Etiquetas
