Un nuevo aviso de SCI
Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls
Johnson Controls ha identificado los siguientes productos que requieren actualización:
- Illustra Camera MII.
- Illustra Cameras Gen 5.
- Illustra Gen5 Pano and Multi.
- Illustra Cameras Gen 4.
- Illustra Essentials Gen 4.
El boletín no especifica las versiones afectadas. El fabricante continúa evaluando otros productos, servicios y soluciones.
[AVISO PRELIMINAR]
Johnson Controls ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP, conocidas conjuntamente como PHP2Shell, que podrían permitir la ejecución remota de código. El fabricante dispone de actualizaciones para las familias de cámaras Illustra identificadas y continúa evaluando el resto de su catálogo.
Instalar las actualizaciones disponibles para los productos Illustra afectados mediante los enlaces de descarga del boletín de Johnson Controls. El documento no publica los números de las versiones corregidas.
Como medidas provisionales, el fabricante recomienda:
- Limitar la exposición de las interfaces web a Internet.
- Restringir el acceso a redes, direcciones IP y usuarios de VPN de confianza.
- Segmentar la red y reducir las comunicaciones innecesarias.
- Supervisar solicitudes web anómalas, errores de PHP, procesos inesperados y conexiones salientes.
Estas medidas no sustituyen la instalación de las actualizaciones.
- CVE-2026-109618: un tratamiento incorrecto del agotamiento de memoria puede dejar datos de una petición PHP parcialmente inicializados. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria de una petición ya liberada. Su utilización en una petición posterior podría permitir la ejecución remota de código.