Seis nuevos avisos de SCI y una actualización
Índice
- [Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls
- Múltiples vulnerabilidades en MES de ABB
- Múltiples vulnerabilidades en APROL de B&R
- Múltiples vulnerabilidades en productos de Wibu-Systems
- Múltiples vulnerabilidades en Netbiter de HMS Networks
- Múltiples vulnerabilidades en RUGGEDCOM APE1808 de Siemens
- Múltiples vulnerabilidades en productos de Hikvision
[Actualización 26/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls
[Actualización 26/10/2026]
El fabricante identifica los siguientes productos que requieren actualización:
- Flex4 MII Illustra.
- Illustra Gen5 Pano and Multi.
- Illustra Pro Fixed.
- Flex4 Fixed and PTZ Illustra.
- Pro4 PTZ Illustra.
- Pro4 LPR Illustra.
- Pro4 Multi Sensor Illustra.
- Flex4 DS Illustra.
- Illustra Essentials Gen 4.
- Power Manage de Visonic.
No se han publicado intervalos completos de versiones afectadas.
[AVISO PRELIMINAR]
Johnson Controls ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP, conocidas conjuntamente como PHP2Shell, que podrían permitir la ejecución remota de código. El fabricante dispone de actualizaciones para las familias de cámaras Illustra identificadas y continúa evaluando el resto de su catálogo.
[Actualización 26/10/2026]
Johnson Controls ha ampliado la información sobre Illustra e incorporado Power Manage. Existen actualizaciones para los productos identificados y continúa la evaluación del resto del catálogo.
[Actualización 26/10/2026]
Instalar las versiones corregidas de Illustra desde el portal de descargas:
- Flex4 MII Illustra: SS021.25.09.06.0001.
- Illustra Gen5 Pano and Multi: SS025.26.01.03.0002.
- Illustra Pro Fixed: SS025.26.01.03.0002.
- Flex4 Fixed and PTZ Illustra: SS025.26.01.03.0002.
- Pro4 PTZ Illustra: SS025.26.01.03.0002.
- Pro4 LPR Illustra: SS016.26.09.03.0002.
- Pro4 Multi Sensor Illustra: SS024.26.03.05.0002.
- Flex4 DS Illustra: SS017.26.03.00.0002.
- Illustra Essentials Gen 4: SS022.26.03.02.0002.
Para Power Manage, actualizar a 4.20.15 o 5.0.45, siguiendo las rutas de actualización admitidas. Si la versión instalada no figura entre ellas, actualizar primero a una versión base soportada.
Como medidas provisionales, el fabricante recomienda:
- Limitar la exposición de las interfaces web a Internet.
- Restringir el acceso a redes, direcciones IP y usuarios de VPN de confianza.
- Segmentar la red y reducir las comunicaciones innecesarias.
- Supervisar solicitudes web anómalas, errores de PHP, procesos inesperados y conexiones salientes.
Estas medidas no sustituyen la instalación de las actualizaciones.
- CVE-2026-109618: un tratamiento incorrecto del agotamiento de memoria puede dejar datos de una petición PHP parcialmente inicializados. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria de una petición ya liberada. Su utilización en una petición posterior podría permitir la ejecución remota de código.
Múltiples vulnerabilidades en MES de ABB
Entregas de ABB Manufacturing Execution System (MES) que incluyan DokuWiki y utilicen una versión vulnerable de PHP. La afectación no depende de una versión concreta de MES.
ABB ha publicado un aviso sobre dos vulnerabilidades de severidad crítica de PHP que afectan a las instalaciones MES con DokuWiki y podrían permitir a un atacante remoto no autenticado ejecutar código arbitrario en el servidor.
Actualizar los paquetes PHP del sistema operativo de los servidores DokuWiki a la versión corregida correspondiente a su rama: 8.2.35, 8.3.36, 8.4.27 o 8.5.12.
ABB recomienda actualizar únicamente los paquetes PHP, conservando la instalación de DokuWiki.
Mientras no se apliquen los parches, la alternativa temporal indicada por el fabricante es apagar los servidores DokuWiki afectados.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos de una petición sin inicializar. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: el estado global de PHP puede conservar referencias a memoria liberada. Su utilización en peticiones posteriores podría permitir ejecutar código arbitrario.
Múltiples vulnerabilidades en APROL de B&R
APROL de B&R, versiones R 4.4-65 y anteriores.
[AVISO PRELIMINAR]
B&R ha publicado un aviso sobre dos vulnerabilidades críticas en el componente PHP de APROL que podrían permitir a un atacante con acceso de red al sistema ejecutar código arbitrario de forma remota.
B&R prevé publicar parches el 26/10/2026 para R 4.4-65 y el 29/10/2026 para R 4.4-01. El boletín no confirma todavía su disponibilidad ni identifica las versiones corregidas.
Hasta disponer de los parches e instalarlos:
- Restringir el tráfico HTTP(S) dirigido a APROL, especialmente desde redes no confiables.
- Limitar el acceso físico y lógico a personal de confianza.
- Mantener los sistemas de control separados de otras redes y sin conexión directa a Internet.
Consultar el boletín del fabricante e instalar los parches cuando estén disponibles.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos de una petición sin inicializar y permitir la ejecución remota de código durante su procesamiento posterior.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada. Su utilización en peticiones posteriores podría permitir ejecutar código arbitrario.
Múltiples vulnerabilidades en productos de Wibu-Systems
CodeMeter License Central y sus extensiones PHP WebDepot, Gateways, Portal y Connectors, en instalaciones sin parchear de las ramas 4.x, 5.0, 5.1 y 5.2.
CodeMeter Runtime y WibuKey no están afectados.
Wibu-Systems ha publicado un aviso sobre 2 vulnerabilidades críticas de PHP que afectan a CodeMeter License Central y sus extensiones y podrían permitir ejecutar código de forma remota.
- CodeMeter License Central 5.2: actualizar a 5.2.2.
- Ramas 5.0 y 5.1: ejecutar PHP-Patch Update Installer siguiendo PHP Patch Manual. En 5.1 se proporcionan imágenes 5.1.2; el instalador también debe ejecutarse si ya se utiliza esa versión.
- Rama 4.x: aplicar los parches aprobados de Ubuntu Pro ESM o migrar siguiendo las instrucciones del fabricante.
- Actualizar WebDepot a 24.09g y CodeMeter License Portal a 25.09a o 26.09a, según la rama.
- Extensiones en servidor propio: actualizar PHP a 8.2.35, 8.3.36 o 8.4.27. PHP 8.5 no es compatible.
Consultar las instrucciones de instalación y comprobar las personalizaciones.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos sin inicializar y permitir la ejecución remota de código durante su procesamiento posterior.
- CVE-2026-109619: la persistencia de referencias globales a memoria liberada puede provocar su utilización en peticiones posteriores y permitir ejecutar código arbitrario.
Múltiples vulnerabilidades en Netbiter de HMS Networks
Dispositivos Netbiter con firmware 3.00.10 y anteriores.
HMS Networks ha publicado un aviso sobre 2 vulnerabilidades críticas de PHP que afectan a Netbiter. Un atacante sin autenticación, con acceso al servidor web del dispositivo mediante la red local o el puerto USB, podría ejecutar código de forma remota.
Actualizar los dispositivos Netbiter a la versión 3.00.11 de su firmware o posterior.
HMS también informa de que el servidor de documentación Argos fue parcheado el 23 de octubre de 2026 y de que no se encontraron indicadores de compromiso en ese servidor.
- CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria puede dejar datos de una petición parcialmente inicializados y permitir la ejecución remota de código durante su procesamiento posterior.
- CVE-2026-109619: el estado global de PHP puede conservar referencias a memoria liberada. Una petición posterior atendida por el mismo proceso podría utilizar ese estado obsoleto y permitir ejecutar código arbitrario.
Múltiples vulnerabilidades en RUGGEDCOM APE1808 de Siemens
RUGGEDCOM APE1808 con versiones vulnerables de Palo Alto Networks PAN-OS de las ramas 10.2, 11.1, 11.2, 12.1 y 12.2.
Los productos de software enumerados en SSA-566435, incluidos Opcenter, Polarion y los componentes de Teamcenter indicados en ese boletín, no están afectados.
Siemens ha publicado dos boletines sobre las vulnerabilidades críticas de PHP y ha confirmado la afectación de RUGGEDCOM APE1808 cuando incorpora PAN-OS vulnerable.
Las vulnerabilidades originales de PHP podrían permitir ejecutar código de forma remota. Para PAN-OS, Palo Alto Networks describe un impacto en la disponibilidad y asigna una severidad alta.
Contactar con el soporte de Siemens para obtener las instrucciones de parcheado y actualización aplicables a RUGGEDCOM APE1808.
Aplicar las medidas del boletín de Palo Alto Networks, especialmente restringir la administración a direcciones IP internas de confianza.
- CVE-2026-109618: el tratamiento de errores por falta de memoria puede dejar datos sin inicializar y permitir la ejecución remota de código en PHP.
- CVE-2026-109619: la utilización de referencias globales a memoria liberada puede permitir ejecutar código arbitrario en PHP.
Múltiples vulnerabilidades en productos de Hikvision
Hybrid SAN, versiones V2.3.9-8 y anteriores:
- DS-A71024/48/72R.
- DS-A80624/48S.
- DS-A81016/24/36/48/72S.
- DS-A72024/48/72R.
- DS-A80316/24/36/48S.
- DS-A83024S.
- DS-A82024S.
- DS-A82024/48D.
Cluster Storage, versiones V1.1.4 y anteriores:
- DS-A71024/48R-CVS.
- DS-A81016S-CVS.
- DS-A72024/48/72R-CVS.
- DS-A72024/48/72RH-CVS.
[AVISO PRELIMINAR]
Hikvision ha publicado un aviso sobre 2 vulnerabilidades críticas de PHP que afectan a Hybrid SAN y Cluster Storage y podrían permitir a un atacante remoto sin autenticación ejecutar código mediante peticiones especialmente diseñadas. La investigación continúa abierta.
Para Hybrid SAN, instalar el paquete de mitigación enlazado en el boletín del fabricante.
Las versiones V2.3.4-2 y posteriores permiten su instalación directa; las anteriores deben actualizarse primero a V2.3.4-2.
El paquete desactiva PHP-Web por defecto y mantiene el funcionamiento del almacenamiento. La actualización de PHP continúa en validación.
Para Cluster Storage, contactar con la oficina local de Hikvision.
- CVE-2026-109618: PHP puede dejar datos de una petición sin inicializar al interrumpirla por falta de memoria. Su utilización posterior podría permitir ejecutar código de forma remota.
- CVE-2026-109619: PHP puede conservar referencias a memoria liberada. Su utilización por peticiones posteriores atendidas por el mismo proceso podría permitir ejecutar código arbitrario.