Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
- PAN-OS, ramas 12.2, 12.1, 11.2, 11.1 y 10.2, en versiones anteriores a las correcciones previstas por el fabricante.
- Panorama, todas las versiones.
- WildFire Appliance WF-500 y WF-500-B, todas las versiones.
En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.
[AVISO PRELIMINAR]
Palo Alto Networks ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP en sus productos. Ha confirmado la afectación de PAN-OS, Panorama y WildFire Appliance.
Para estos productos, el fabricante describe un impacto en la disponibilidad y asigna una severidad alta, con CVSS v4.0 de 8,7. La clasificación crítica del aviso corresponde a las vulnerabilidades originales de PHP.
El fabricante prevé publicar las correcciones de PAN-OS entre el 26 y el 30 de octubre de 2026, según la rama. Las fechas son estimadas y pueden cambiar. Las correcciones de Panorama y WildFire Appliance no tienen fecha anunciada.
Consultar la matriz de versiones del boletín del fabricante y aplicar las actualizaciones cuando estén disponibles.
Mientras tanto, restringir la administración de PAN-OS y Panorama a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración conforme a las instrucciones del fabricante.
- CVE-2026-109618: la gestión del agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento posterior podría provocar corrupción de memoria y ejecución remota de código en PHP.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada y utilizarlas en solicitudes posteriores, lo que podría permitir la ejecución remota de código en PHP.
Estas descripciones corresponden a PHP. La evaluación específica de Palo Alto Networks identifica un impacto en la disponibilidad de sus productos.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No definido | PALO ALTO NETWORKS |
| CVE-2026-109619 | Crítica | No definido | PALO ALTO NETWORKS |
