Múltiples vulnerabilidades en productos de Contec

Fecha de publicación 30/10/2026

Identificador

INCIBE-2026-812

Importancia

5 - Crítica

Recursos Afectados

CONPROSYS Linux SDK.
CONPROSYS M2M Controller: CPS-MC341 y CPS-MCS341.
CONPROSYS M2M Gateway: CPS-MG341 y CPS-MGS341.
CONPROSYS PAC: CPS-PC341 y CPS-PCS341.
CONPROSYS Telemetry Device: CPS-TM341.
CAN Converter Unit: CAN-2-USB y CAN-2-WF.

Consultar el boletín del fabricante para identificar el estado de cada producto. El fabricante no ha especificado los rangos completos de versiones afectadas.

Descripción

Ryan A., de Calif, Amy Burnett, de OpenAI Codex Security, y el equipo de Wiz han informado sobre 2 vulnerabilidades de severidad crítica de PHP, conocidas como PHP2Shell. Contec ha confirmado su impacto en diversos productos. Su explotación podría permitir ejecutar código de forma remota sin autenticación.

Solución

CAN-2-USB y CAN-2-WF: instalar la versión 2.30 del firmware.
CPS-PC341 y CPS-PCS341: instalar la versión 3.1.0 del firmware, disponible en la página de actualización de Contec.
M2M Controller, M2M Gateway y CONPROSYS Linux SDK: Contec preveía publicar correcciones el 30/10/2026. Consultar su disponibilidad en el boletín del fabricante.
CPS-TM341: la corrección está prevista para el 06/11/2026.

Hasta aplicar las correcciones, restringir el acceso mediante cortafuegos o una red privada de confianza, suspender los servicios accesibles desde el exterior o desconectar los productos afectados de la red cuando proceda.

Detalle

CVE-2026-109618: el tratamiento incorrecto de errores por agotamiento de memoria puede dejar datos de una solicitud sin inicializar. Su uso durante la limpieza puede causar corrupción de memoria y ejecución remota de código.
CVE-2026-109619: determinadas referencias globales pueden apuntar a memoria de solicitudes ya liberada. Una solicitud posterior puede utilizar ese estado antes de reinicializarlo y permitir ejecución remota de código.

CVE