Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos nuevos avisos de SCI

Índice

  • Múltiples vulnerabilidades en OCTO Image Server de Mettler Toledo
  • Múltiples vulnerabilidades en productos de Schneider Electric

Múltiples vulnerabilidades en OCTO Image Server de Mettler Toledo

Fecha29/10/2026
Importancia
Recursos Afectados

OCTO Image Server, versiones 5.0.10 y anteriores, que utilicen PHP desde la versión 8.2.0 hasta la 8.2.34, ambas incluidas.

Descripción

Ryan A., de Calif, Amy Burnett, de OpenAI Codex Security, y el equipo de Wiz en colaboración con CERT@VDE, han informado sobre vulnerabilidades en PHP. Mettler Toledo ha confirmado que 2 de ellas, de severidad crítica y conocidas como PHP2Shell, afectan a OCTO Image Server y podrían permitir la ejecución remota de código.

Solución

Actualizar el componente PHP de OCTO Image Server a la versión 8.2.35, siguiendo el boletín del fabricante.

El producto está destinado a redes internas y no debe exponerse directamente a Internet.

Detalle
  • CVE-2026-109618: el tratamiento incorrecto de errores por agotamiento de memoria puede dejar datos de una petición sin inicializar. Su utilización durante la limpieza de la petición puede provocar corrupción de memoria y ejecución remota de código.
  • CVE-2026-109619: determinadas referencias globales pueden apuntar a memoria de peticiones ya liberada. Una petición posterior puede utilizar ese estado antes de reinicializarlo y permitir ejecución remota de código.

Múltiples vulnerabilidades en productos de Schneider Electric

Fecha29/10/2026
Importancia5 - Crítica
Recursos Afectados
  • EcoStruxure Control Engineering: todas las versiones.
  • EcoStruxure Foxboro DCS H90 Server: HPE ProLiant DL380 GEN9 con Windows Server OS 2016.
  • EcoStruxure Security Expert Web Client: versiones anteriores a 1.48.4.0.
  • ProLeiT LINEoptimize, anteriormente Plant iT LMS: todas las versiones.
Solución
  • Control Engineering: la máquina virtual se actualiza automáticamente si tiene acceso a debian.org y sury.org. Sin acceso, solicitar el parche a esxcontrolengineering.support@se.com.
  • Foxboro DCS H90 Server: bloquear los puertos TCP 2301 y 2381, utilizados por HPE System Management Homepage.
  • Security Expert Web Client: actualizar a 1.48.4.0 mediante el servicio de atención al cliente.
  • LINEoptimize: solicitar la corrección a helpdesk@proleit.com.

Aislar los sistemas de Internet mediante cortafuegos.

Detalle
  • CVE-2026-109618: la gestión incorrecta de errores por falta de memoria deja datos internos sin inicializar. Su uso durante la limpieza de solicitudes puede provocar corrupción de memoria y ejecución remota de código.
  • CVE-2026-109619: determinadas referencias globales permanecen tras liberar la memoria de una solicitud. Otra solicitud procesada por el mismo trabajador puede utilizar esa memoria liberada y permitir ejecución remota de código.