[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Palo Alto Networks
[Actualización 26/10/2026]
La afectación corresponde a PAN-OS en cortafuegos PA-Series y VM-Series y en Panorama, tanto virtual como M-Series, en las ramas 12.2, 12.1, 11.2, 11.1 y 10.2 anteriores a las correcciones correspondientes.
WildFire Appliance WF-500 y WF-500-B no están afectados.
En PAN-OS, la afectación se limita a la interfaz web de administración, incluidos HTTPS y XML API. Las interfaces del plano de datos están afectadas si tienen asociado un perfil de administración.
[Actualización 26/10/2026]
Palo Alto Networks ha actualizado su evaluación de PHP2Shell y confirma la afectación de PAN-OS y Panorama.
El fabricante también indica que CVE-2026-115560 no afecta a PAN-OS ni Panorama, al no utilizar la configuración implicada.
Para estos productos, el fabricante describe un impacto en la disponibilidad y asigna una severidad alta. La clasificación crítica del aviso corresponde a las vulnerabilidades originales de PHP.
[Actualización 26/10/2026]
Ya están disponibles las siguientes correcciones de PAN-OS, aplicables también a Panorama:
- 11.2.10-h16.
- 11.1.4-h38.
- 11.1.6-h40.
- 11.1.10-h36.
- 11.1.13-h16.
- 11.1.16-h4.
- 10.2.18-h13.
Instalar la corrección correspondiente a la rama utilizada. Las restantes actualizaciones mantienen fechas estimadas entre el 27 y el 30 de octubre. Consultar la matriz del fabricante, que también recoge las firmas de protección ampliadas en Applications and Threats 9162, 9163, 9164 y posteriores.
Mientras tanto, restringir la administración de PAN-OS y Panorama a direcciones IP internas de confianza. La protección mediante Threat Prevention requiere configurar la inspección del tráfico de administración conforme a las instrucciones del fabricante.
- CVE-2026-109618: la gestión del agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento posterior podría provocar corrupción de memoria y ejecución remota de código en PHP.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada y utilizarlas en solicitudes posteriores, lo que podría permitir la ejecución remota de código en PHP.
Estas descripciones corresponden a PHP. La evaluación específica de Palo Alto Networks identifica un impacto en la disponibilidad de sus productos.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-109618 | Crítica | No definido | PALO ALTO NETWORKS |
| CVE-2026-109619 | Crítica | No definido | PALO ALTO NETWORKS |
