Dos nuevos avisos de seguridad y una actualización
Índice
- [Actualización 28/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls
- Múltiples vulnerabilidades en EPICS Base de The EPICS Community
- Múltiples vulnerabilidades en SPRECON-NDM de Sprecher Automation
[Actualización 28/10/2026] Impacto de vulnerabilidades críticas de PHP en productos de Johnson Controls
[Actualización 28/10/2026]
La revisión 3.0 incorpora CEM AC2000 10.5, 10.6, 11, 12, 12.1 y 12.2 y actualiza las familias Illustra:
- Pro Gen4 Fixed.
- Pro Gen4 PTZ.
- Pro Gen4 MultiSensor.
- Pro Gen4 LPR.
- Flex Gen4 Fixed/PTZ.
- Flex Gen4 DualSensor.
- Pro Gen5 MultiSensor y Pano.
Johnson Controls ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas de PHP, conocidas conjuntamente como PHP2Shell, que podrían permitir la ejecución remota de código. El fabricante dispone de actualizaciones para las familias de cámaras Illustra identificadas y continúa evaluando el resto de su catálogo.
[Actualización 26/10/2026]
Johnson Controls ha ampliado la información sobre Illustra e incorporado Power Manage. Existen actualizaciones para los productos identificados y continúa la evaluación del resto del catálogo.
[Actualización 28/10/2026]
Aplicar el hotfix de CEM AC2000 correspondiente desde los enlaces del boletín actualizado. Para Illustra, descargar el firmware corregido desde su portal oficial:
- Pro Gen4 Fixed: Illustra.SS016.26.09.03.0002.
- Pro Gen4 PTZ: Illustra.SS010.26.09.03.0002.
- Pro Gen4 MultiSensor: Illustra.SS017.26.03.02.0002.
- Pro Gen4 LPR: Illustra.SS024.26.03.05.0002.
- Flex Gen4 Fixed/PTZ: Illustra.SS018.26.09.03.0002.
- Flex Gen4 DualSensor: Illustra.SS022.26.03.02.0002.
- Pro Gen5 MultiSensor y Pano: Illustra.SS025.26.01.03.0002.
Para Power Manage, actualizar a 4.20.15 o 5.0.45, siguiendo las rutas de actualización admitidas. Si la versión instalada no figura entre ellas, actualizar primero a una versión base soportada.
Como medidas provisionales, el fabricante recomienda:
- Limitar la exposición de las interfaces web a Internet.
- Restringir el acceso a redes, direcciones IP y usuarios de VPN de confianza.
- Segmentar la red y reducir las comunicaciones innecesarias.
- Supervisar solicitudes web anómalas, errores de PHP, procesos inesperados y conexiones salientes.
Estas medidas no sustituyen la instalación de las actualizaciones.
- CVE-2026-109618: un tratamiento incorrecto del agotamiento de memoria puede dejar datos de una petición PHP parcialmente inicializados. Su procesamiento posterior podría permitir la ejecución remota de código.
- CVE-2026-109619: PHP puede conservar referencias globales a memoria de una petición ya liberada. Su utilización en una petición posterior podría permitir la ejecución remota de código.
Múltiples vulnerabilidades en EPICS Base de The EPICS Community
EPICS Base, versiones 7.0.10 y anteriores.
Shubham Raj, de Cipher / Causal Security, ha informado a CISA sobre 4 vulnerabilidades en EPICS Base, una crítica y tres altas. Su explotación podría permitir a un atacante remoto sin autenticación corromper memoria, acceder a información sensible, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario.
Actualizar a EPICS Base 7.0.11. Utilizar el archivo base-7.0.11.tar.gz; los archivos automáticos Source code de GitHub omiten submódulos.
Antes del despliegue en producción, comprobar los módulos, las aplicaciones cliente y los IOC, especialmente la compatibilidad con clientes Channel Access antiguos, conforme a las indicaciones del fabricante.
- CVE-2026-114595: un desbordamiento de enteros durante el procesamiento de solicitudes de red puede provocar asignaciones de memoria con un tamaño incorrecto. El tratamiento posterior de datos manipulados podría causar corrupción de memoria, denegación de servicio o ejecución remota de código.
- CVE-2026-114596: una validación incorrecta de longitudes durante el análisis del protocolo puede desencadenar un desbordamiento de enteros y una escritura fuera de límites, causando inestabilidad o denegación de servicio.
- CVE-2026-114597: la validación insuficiente de elementos o longitudes de mensajes permite leer fuera del búfer asignado, pudiendo provocar denegación de servicio o exponer memoria adyacente.
- CVE-2026-114598: una vulnerabilidad clasificada como confusión de tipos puede ocasionar lecturas fuera de límites por una validación insuficiente, con posible denegación de servicio y exposición de memoria adyacente.
Múltiples vulnerabilidades en SPRECON-NDM de Sprecher Automation
SPRECON-NDM cuando el componente NagVis utiliza paquetes PHP del sistema anfitrión sin corregir. El fabricante no concreta versiones de SPRECON-NDM.
Los investigadores lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai han informado sobre dos vulnerabilidades críticas en PHP que podrían permitir ejecutar código de forma remota. Sprecher Automation identifica NagVis como componente afectado en SPRECON-NDM.
Actualizar los paquetes PHP del sistema Linux anfitrión con las correcciones de la distribución.
Si no es posible, desactivar temporalmente NagVis por sitio y detener y deshabilitar PHP-FPM siguiendo el procedimiento del fabricante. Verificar que no queden procesos PHP y que las rutas /nagvis/ y /test.php respondan con 403 o 404.
- CVE-2026-109618: el tratamiento de errores por agotamiento de memoria puede dejar datos de una petición PHP sin inicializar. Su procesamiento durante la limpieza de la petición podría permitir ejecutar código remoto.
- CVE-2026-109619: referencias globales de PHP pueden apuntar a memoria de peticiones ya liberada. Su utilización en peticiones posteriores podría permitir ejecutar código remoto.