Impacto de vulnerabilidades críticas de PHP y Java en entornos de Sage CRM

Fecha de publicación 26/10/2026

Identificador

INCIBE-2026-788

Importancia

5 - Crítica

Recursos Afectados

Aplicaciones e integraciones de terceros conectadas a Sage CRM que utilicen PHP vulnerable. La arquitectura estándar de Sage CRM no utiliza PHP y no está directamente afectada.
Instalaciones de Sage CRM que utilicen una versión afectada de Oracle JRE 8. Debe comprobarse el entorno Java utilizado por Apache Tomcat.

Sage continúa investigando el posible impacto en Eclipse Temurin OpenJRE 8 y 11. No ha confirmado una vía de explotación directa mediante las funciones estándar del CRM.

Descripción

[AVISO PRELIMINAR]

Sage ha publicado tres comunicaciones sobre vulnerabilidades críticas de PHP y Java relacionadas con entornos de Sage CRM.

El compromiso de una integración PHP vulnerable podría exponer credenciales y permitir acceder a datos del CRM según los permisos concedidos. La vulnerabilidad de Java podría permitir suplantar servicios y comprometer comunicaciones.

Sage ha aplazado el lanzamiento de Sage CRM 2026 R2 mientras investiga el impacto en Eclipse Temurin y valida una solución.

Solución

Identificar las integraciones PHP, actualizar su entorno a una versión corregida compatible y confirmar con su proveedor la aplicación de los parches. Revisar permisos, credenciales y registros. No se requiere un parche de Sage CRM para corregir PHP.
Identificar el entorno Java utilizado realmente por Tomcat y aplicar la actualización correspondiente. Si no puede actualizarse, seguir las mitigaciones de Oracle sobre confianza y revocación de certificados.
Respaldar la configuración y comprobar Tomcat y las integraciones después de los cambios. Actualizar Java en el servidor no garantiza que Tomcat utilice ese entorno.

Sage no ha confirmado una nueva fecha para Sage CRM 2026 R2.

Detalle

CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código.
CVE-2026-109619: PHP puede conservar referencias a memoria liberada y utilizarlas en peticiones posteriores, permitiendo ejecutar código arbitrario.
CVE-2026-91403: una vulnerabilidad de JSSE en Oracle Java, relacionada con certificados de autoridades de certificación comprometidos, podría permitir a un atacante remoto sin autenticación suplantar servicios y acceder o modificar datos transmitidos por aplicaciones Java.

CVE