[Actualización 23/10/2026] Impacto de vulnerabilidades críticas de PHP en productos Fortinet

Fecha de publicación 22/10/2026

Identificador

INCIBE-2026-769

Importancia

5 - Crítica

Recursos Afectados

Fortinet está investigando el impacto de las vulnerabilidades en los siguientes productos:

FortiADC y FortiADC Manager.
FortiDDoS y FortiDDoS-F.
FortiSIEM y FortiMonitor.
FortiClient Cloud.
FortiSOAR y FortiSOAR PaaS.
FortiGuard y FortiEndpoint.

Fortinet no ha confirmado todavía qué versiones de estos productos están afectadas.

[Actualización 23/10/2026]

Fortinet ha descartado la afectación de cinco productos que antes estaban bajo investigación: FortiADC, FortiADC Manager, FortiSIEM, FortiMonitor y FortiEndpoint.

Descripción

[AVISO PRELIMINAR]

Fortinet está evaluando el impacto de dos vulnerabilidades críticas en el núcleo de PHP. Ambas podrían permitir la ejecución remota de código.

watchTowr informa de intentos de explotación activa de ambas vulnerabilidades en PHP. Este dato no confirma que se estén explotando productos Fortinet; el impacto en dichos productos continúa bajo investigación.

Solución

Para productos Fortinet, consultar el aviso FG-IR-26-186 y aplicar las actualizaciones que publique el fabricante para cada producto afectado.

Para instalaciones independientes de PHP, actualizar a las versiones corregidas de la rama correspondiente: 8.2.35, 8.3.36, 8.4.27 o 8.5.12.

Detalle

CVE-2026-109618 permite la ejecución remota de código mediante corrupción de memoria durante el manejo de errores por falta de memoria. Una petición multipart puede provocar el agotamiento de memoria mientras PHP procesa la solicitud.
CVE-2026-109619 permite la ejecución remota de código por el uso de estado global obsoleto después de un error fatal. El estado de una petición puede quedar referenciado por el proceso y ser utilizado durante una solicitud posterior.

CVE