[Actualización 28/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls

Fecha de publicación 23/10/2026

Identificador

INCIBE-2026-771

Importancia

5 - Crítica

Recursos Afectados

[Actualización 28/10/2026]

La revisión 3.0 incorpora CEM AC2000 10.5, 10.6, 11, 12, 12.1 y 12.2 y actualiza las familias Illustra:

Pro Gen4 Fixed.
Pro Gen4 PTZ.
Pro Gen4 MultiSensor.
Pro Gen4 LPR.
Flex Gen4 Fixed/PTZ.
Flex Gen4 DualSensor.
Pro Gen5 MultiSensor y Pano.

Descripción

Johnson Controls ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP, conocidas conjuntamente como PHP2Shell, que podrían permitir la ejecución remota de código. El fabricante dispone de actualizaciones para las familias de cámaras Illustra identificadas y continúa evaluando el resto de su catálogo.

[Actualización 26/10/2026]

Johnson Controls ha ampliado la información sobre Illustra e incorporado Power Manage. Existen actualizaciones para los productos identificados y continúa la evaluación del resto del catálogo.

Solución

[Actualización 28/10/2026]

Aplicar el hotfix de CEM AC2000 correspondiente desde los enlaces del boletín actualizado. Para Illustra, descargar el firmware corregido desde su portal oficial:

Pro Gen4 Fixed: Illustra.SS016.26.09.03.0002.
Pro Gen4 PTZ: Illustra.SS010.26.09.03.0002.
Pro Gen4 MultiSensor: Illustra.SS017.26.03.02.0002.
Pro Gen4 LPR: Illustra.SS024.26.03.05.0002.
Flex Gen4 Fixed/PTZ: Illustra.SS018.26.09.03.0002.
Flex Gen4 DualSensor: Illustra.SS022.26.03.02.0002.
Pro Gen5 MultiSensor y Pano: Illustra.SS025.26.01.03.0002.

Para Power Manage, actualizar a 4.20.15 o 5.0.45, siguiendo las rutas de actualización admitidas. Si la versión instalada no figura entre ellas, actualizar primero a una versión base soportada.

Como medidas provisionales, el fabricante recomienda:

Limitar la exposición de las interfaces web a Internet.
Restringir el acceso a redes, direcciones IP y usuarios de VPN de confianza.
Segmentar la red y reducir las comunicaciones innecesarias.
Supervisar solicitudes web anómalas, errores de PHP, procesos inesperados y conexiones salientes.

Estas medidas no sustituyen la instalación de las actualizaciones.

Detalle

CVE-2026-109618: un tratamiento incorrecto del agotamiento de memoria puede dejar datos de una petición PHP parcialmente inicializados. Su procesamiento posterior podría permitir la ejecución remota de código.
CVE-2026-109619: PHP puede conservar referencias globales a memoria de una petición ya liberada. Su utilización en una petición posterior podría permitir la ejecución remota de código.

CVE