Múltiples vulnerabilidades en productos de Broadcom

Fecha de publicación 26/10/2026

Identificador

INCIBE-2026-787

Importancia

5 - Crítica

Recursos Afectados

Security Analytics: 8.2.8, 8.3.1, 8.3.2, 8.4.1.2 y 8.4.1.3.
Symantec Privileged Access Manager (PAM): servidor y dispositivos con PHP vulnerable. El fabricante no publica un intervalo exhaustivo de versiones afectadas.

Los clientes y agentes de PAM, PAM Server Control, A2A, Socket Filter Agents, Windows Proxies y Threat Analytics no están afectados.

Descripción

Broadcom ha publicado un aviso sobre dos vulnerabilidades críticas de PHP que afectan a Security Analytics y Symantec PAM y podrían permitir ejecutar código de forma remota. Las condiciones de exposición dependen de su integración en cada producto.

La investigación de la división IMS está finalizada. PAM utiliza PHP internamente, pero no expone un servicio web PHP al exterior.

Solución

Symantec PAM: aplicar 4.2.3.85, 4.2.4.85, 4.3.0.85, 4.3.1.85 o 4.3.2.85, según la versión instalada.
Security Analytics: aplicar el parche previsto para 8.3.2 durante la última semana de octubre cuando esté disponible. Las instalaciones anteriores deberán actualizar primero a 8.3.2. Esa versión sin el parche sigue afectada.
Security Analytics 8.4.1.2 y posteriores: la corrección 8.4.1.4 está prevista para la segunda semana de noviembre.

Broadcom también recomienda actualizar las instalaciones antiguas de OPMS, anteriores a 26.8.x, a 26.8.4 o posterior. ASM Core y las estaciones públicas no están afectados.

Detalle

CVE-2026-109618: PHP puede dejar datos de una petición sin inicializar tras un error por falta de memoria y permitir la ejecución remota de código durante su limpieza posterior.
CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada. Su utilización en peticiones posteriores podría permitir ejecutar código arbitrario.

CVE