Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en productos de Helmholz
- Múltiples vulnerabilidades en productos de MB connect line
- Uso de memoria tras su liberación en OPTIMAX de ABB
Múltiples vulnerabilidades en productos de Helmholz
- myREX24V2, con firmware anterior a 2.21.6.
- myREX24V2.virtual, con firmware anterior a 2.21.6.
Helmholz, en coordinación con CERT@VDE, ha publicado 2 vulnerabilidades, 1 de severidad crítica y 1 alta, en la versión de PHP integrada en myREX24V2 y myREX24V2.virtual. Ambas forman parte de PHP2Shell y podrían permitir a un atacante remoto ejecutar código sin autenticación.
Actualizar myREX24V2 y myREX24V2.virtual a la versión 2.21.6 o posterior, según la ficha de seguridad de Helmholz.
- CVE-2026-109618: una gestión incorrecta del agotamiento de memoria en PHP puede dejar datos sin inicializar. Su lectura durante la limpieza de la petición podría permitir ejecutar código.
- CVE-2026-109619: PHP puede conservar referencias a memoria ya liberada. El uso de esas referencias al procesar peticiones posteriores podría permitir ejecutar código.
Múltiples vulnerabilidades en productos de MB connect line
- mbCONNECT24, con firmware anterior a 2.21.6.
- mymbCONNECT24, con firmware anterior a 2.21.6.
MB connect line, en coordinación con CERT@VDE, ha publicado 2 vulnerabilidades, 1 de severidad crítica y 1 alta, en la versión de PHP integrada en mbCONNECT24 y mymbCONNECT24. Ambas forman parte de PHP2Shell y podrían permitir a un atacante remoto ejecutar código sin autenticación.
Actualizar mbCONNECT24 y mymbCONNECT24 a la versión 2.21.6 o posterior, según la ficha de seguridad de MB connect line.
- CVE-2026-109618: una gestión incorrecta del agotamiento de memoria en PHP puede dejar datos sin inicializar. Su lectura durante la limpieza de la petición podría permitir ejecutar código.
- CVE-2026-109619: PHP puede conservar referencias a memoria ya liberada. El uso de esas referencias al procesar peticiones posteriores podría permitir ejecutar código.
Uso de memoria tras su liberación en OPTIMAX de ABB
ABB Ability OPTIMAX, ramas 6.4.x y 6.5.x, sin el parche del sistema operativo correspondiente.
ABB ha publicado 1 vulnerabilidad de severidad crítica en el subsistema IPv4 del núcleo Linux de ABB Ability OPTIMAX. Un atacante con acceso de red al producto podría ejecutar código arbitrario o interrumpir el servicio sin autenticación.
Aplicar el parche del sistema operativo correspondiente a la rama instalada.
- 6.4.x — don_osupdate_v6.4.1-261107.
- 6.5.x — don_osupdate_v6.5.1-261106.
Si debe aplazarse el parche, ABB propone filtrar temporalmente los paquetes TCP entrantes sobre IPv4 que contengan opciones IP. Probar la regla en un entorno de preproducción y volver a aplicarla tras cada reinicio hasta instalar la corrección. Consultar el procedimiento de filtrado citado por ABB.
CVE-2026-98432: una condición de carrera durante el procesamiento de peticiones TCP retransmitidas o la migración de conexiones puede liberar opciones del socket mientras siguen en uso. Un atacante remoto sin autenticar podría provocar la ejecución de código si consigue sincronizar las peticiones con el procesamiento vulnerable.