Impacto de vulnerabilidades críticas de PHP en productos de Cisco
Cisco ha confirmado la afectación de los siguientes productos, sin especificar los intervalos de versiones afectadas:
- Expressway Series.
- Expressway Select Series.
- Ultra-Reliable Wireless Backhaul (URWB).
En URWB, la explotación requiere autenticación como administrador. Otros productos y servicios continúan bajo investigación; consultar su estado en el boletín de Cisco.
[AVISO PRELIMINAR]
Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del núcleo de PHP en sus productos. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ha confirmado productos afectados y continúa evaluando otros.
Cisco ha anunciado las siguientes versiones corregidas, cuya disponibilidad está pendiente:
- Expressway Series y Expressway Select Series: 15.5.21, con fecha por determinar.
- URWB: 27.1.1, prevista para febrero de 2027.
Las fechas son estimadas y pueden cambiar. Cisco indica que no existen soluciones alternativas que corrijan estas vulnerabilidades.
Consultar el boletín del fabricante y aplicar las actualizaciones correspondientes cuando estén disponibles.
- CVE-2026-109618: la gestión incorrecta de errores por falta de memoria puede dejar datos internos de una petición PHP en un estado inválido y permitir la ejecución remota de código.
- CVE-2026-109619: las referencias globales a memoria de peticiones ya liberadas pueden utilizarse durante solicitudes posteriores, lo que podría permitir la ejecución remota de código.
La clasificación crítica corresponde a PHP, con CVSS v4.0 de 9,2. Para URWB, Cisco publica una valoración específica de 6,6 en CVSS v3.1, de severidad media, al requerir autenticación como administrador.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No definido | CISCO |
| CVE-2026-109619 | Crítica | No definido | CISCO |
