.png)
INCIBE-CERT alerta de vulnerabilidades críticas en Oracle que permiten ejecutar código sin autenticación
Dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619 amenazan productos Oracle Communications, Solaris y Secure Backup. Los fallos, conocidos como PHP2Shell, alcanzan una gravedad máxima de 9,8 sobre 10 y podrían permitir a un atacante tomar el control de sistemas afectados.
El Instituto Nacional de Ciberseguridad (INCIBE), a través de INCIBE-CERT, publicó el 26 de octubre de 2026 el aviso INCIBE-2026-790, clasificando con severidad 5 —Crítica— dos vulnerabilidades que afectan a distintos productos de Oracle.
Los fallos permiten potencialmente la ejecución remota de código (RCE) sin necesidad de autenticación. Esto significa que un atacante con acceso de red al componente vulnerable podría comprometer el sistema sin disponer previamente de credenciales válidas.
Dos vulnerabilidades con consecuencias graves
Las vulnerabilidades, conocidas conjuntamente como PHP2Shell, afectan a la gestión de memoria de PHP:
CVE-2026-109618: un fallo en el tratamiento de condiciones de memoria insuficiente puede provocar que determinados datos de una solicitud queden sin inicializar, facilitando potencialmente la ejecución de código.
CVE-2026-109619: un problema relacionado con referencias a memoria liberada puede permitir que solicitudes posteriores utilicen información obsoleta y desencadenen la ejecución de código arbitrario.
Oracle asigna a CVE-2026-109618 una puntuación CVSS v3.1 de 9,8, con posibles consecuencias graves para la confidencialidad, integridad y disponibilidad de los sistemas.
Infraestructuras de telecomunicaciones entre las afectadas
El aviso incluye ocho familias de Oracle Communications, entre ellas Diameter Signaling Router, EAGLE Application Processor, EAGLE Element Management System, EAGLE LNP Application Processor, LSMS, Performance Intelligence Center, Unified Assurance y User Data Repository.
También se encuentra afectado Oracle Solaris 11. Además, Oracle incorporó a su boletín actualizado Oracle Secure Backup, en las versiones 19.1.0.0.0 a 19.1.0.1.0.
La presencia de estos productos en entornos de telecomunicaciones resulta especialmente relevante, dado que algunos intervienen en procesos de señalización, gestión y supervisión de redes.
Una explotación satisfactoria podría comprometer componentes esenciales y afectar a la disponibilidad de determinados servicios, dependiendo de la arquitectura y la exposición de cada instalación.
Oracle recomienda aplicar los parches inmediatamente
El fabricante ha publicado actualizaciones de seguridad específicas para los productos afectados y recomienda su instalación sin demora.
Una particularidad importante es que el parche correspondiente a CVE-2026-109618 también corrige CVE-2026-109619. No obstante, cada producto requiere seguir su procedimiento de actualización correspondiente.
Las organizaciones deben comprobar las versiones instaladas, identificar los componentes vulnerables, priorizar los servicios accesibles desde redes externas y revisar los registros de seguridad para detectar posibles actividades sospechosas.
En el momento de publicarse el aviso de INCIBE-CERT no constaba explotación conocida de estas vulnerabilidades. Esta circunstancia no elimina el riesgo ni garantiza que los sistemas expuestos no hayan sido atacados.
Un riesgo que exige actuar antes de que se produzca un incidente
La combinación de ejecución remota de código, ausencia de autenticación y posible compromiso completo del producto convierte estas vulnerabilidades en una prioridad para los equipos de seguridad y administración de sistemas.
En infraestructuras de comunicaciones, donde la continuidad operativa es especialmente importante, la aplicación coordinada de parches y la reducción de la superficie de exposición constituyen las principales medidas para mitigar el riesgo.
Fuentes oficiales:
Comentarios