[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Cisco

Fecha de publicación 23/10/2026

Identificador

INCIBE-2026-773

Importancia

5 - Crítica

Recursos Afectados

Cisco ha confirmado la afectación de los siguientes productos, sin especificar los intervalos de versiones afectadas:

Expressway Series.
Expressway Select Series.
Ultra-Reliable Wireless Backhaul (URWB).

En URWB, la explotación requiere autenticación como administrador. Otros productos y servicios continúan bajo investigación; consultar su estado en el boletín de Cisco.

[Actualización 26/10/2026]

Cisco ha incorporado Duo Access Gateway a la relación de productos afectados.

Descripción

Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del núcleo de PHP en sus productos. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ha confirmado productos afectados y continúa evaluando otros.

Solución

Cisco ha anunciado las siguientes versiones corregidas, cuya disponibilidad está pendiente:

Expressway Series y Expressway Select Series: 15.5.21, con fecha por determinar.
URWB: 27.1.1, prevista para febrero de 2027.

Las fechas son estimadas y pueden cambiar.

[Actualización 26/10/2026]

Duo Access Gateway dispone de la versión corregida 3.2.0 para Windows y Linux. En Windows requiere PHP 8.3.36 o posterior; en Linux incorpora PHP 8.3.36.

Para Duo Access Gateway 3.0.0 o 3.1.0 en Windows, también puede actualizarse PHP a 8.3.36 mediante el actualizador independiente indicado en las notas de versión de Duo.

Cisco confirma que existen soluciones alternativas para Expressway Series, Expressway Select Series y URWB. Consultar los apartados correspondientes de los registros CSCwx37062 y CSCwx37073.

Consultar el boletín del fabricante y aplicar las actualizaciones correspondientes cuando estén disponibles.

Detalle

CVE-2026-109618: la gestión incorrecta de errores por falta de memoria puede dejar datos internos de una petición PHP en un estado inválido y permitir la ejecución remota de código.
CVE-2026-109619: las referencias globales a memoria de peticiones ya liberadas pueden utilizarse durante solicitudes posteriores, lo que podría permitir la ejecución remota de código.

La clasificación crítica corresponde a PHP, con CVSS v4.0 de 9,2. Para URWB, Cisco publica una valoración específica de 6,6 en CVSS v3.1, de severidad media, al requerir autenticación como administrador.

CVE