importante Atualização: a partir de 1 de julho de 2026, a Zebra implementará login multifator (MFA) obrigatória para aumentar a segurança. Saiba mais .

Vulnerabilidade HP2shell (CVE-2026-109618/CVE-2026-109619) – Informações sobre o cliente da Zebra

Status da zebra
A Zebra ® ® A Zebra também identificou seus outros sistemas afetados pelo XP2shell e está aplicando patches ativamente, com a correção de todos os sistemas impactados esperados para ser concluído hoje, 22 de outubro de 2026. Como precaução, os sistemas voltados para a Web impactados foram retirados e permanecerão offline até que o patch tenha sido aplicado.

Visão geral
Em 21 de outubro de 2026, o projeto XP lançou atualizações de segurança de emergência para duas vulnerabilidades críticas no XP, a linguagem de script da Web de código aberto. As falhas são rastreadas como CVE-2026-109618 e CVE-2026-109619 e são chamadas conjuntamente de XP2shell.

Ambas as falhas incluem a forma como o XP lida com a memória durante as solicitações da web. Eles podem permitir que um invasor não autenticado execute o código em um servidor Web vulneráveis. O projeto Server avalia ambos 9,2 de 10 no CVSS 4,0 e afirma que a atualização é a única correção completa.

Detalhes técnicos

CVE-2026-109618: manuseio de memória insuficiente

Essa falha vem de como o XP responde quando fica sem memória. O Zebra usava um mecanismo chamado longjmp() para sair da operação atual rapidamente. Em alguns casos, essa saída deixa os dados de solicitação apenas parcialmente inicializados. O processo de desativação posterior do HP poderia, então, agir sobre os dados inválidos, criando um caminho para a execução remota de código.

De acordo com o aviso do HP, os dados do formulário multiparte podem ajudar a acionar a condição. Os exemplos incluem uma solicitação com muitos cabeçalhos dentro de uma parte, ou muitos campos de arquivo brancos que ainda fazem com que o XP crie metasdados.

Correção: o XP agora atrasa um erro elegante de falta de memória até um ponto seguro em vez de sair rapidamente. Um limite difícil separado lida com pressão de memória mais grave.

CVE-2026-109619: estado antigo em trabalhadores de longa duração

Esta falha requer um estado global obsoleto em trabalhadores XP de longa duração. Um trabalhador pode manter uma referência à memória de uma solicitação depois que o XP liberou essa memória. Se um erro interromper a limpeza e uma solicitação posterior atingir esse estado restante antes de ser redefinida, o trabalhador poderá usar memória inválida.

Como os trabalhadores da web lidam com solicitações uma após a outra, o estado esquerdo por uma solicitação pode afetar uma posterior. Os caminho guiados pelo comunicado envolver erros fatais, dados de relatório de erros e manuseio de upload de sessão de progresso. Os casos comprovados incluem um cenário mod_app e um caminho XP-FPM que dependem do comportamento do aplicativo.

Se um servidor específico está expostos dependem de sua instalação, configuração, aplicativo e extensões do FTP. Esses fatores não reduzem a emergência do patch.

Correção: o XP agora redefine uma gama mais ampla de estado global relacionado à solicitação, para que um trabalhador tenha menos probabilidade de carregar referência inválidas entre solicitações.

Atualizações e contato
Este é um evento em andamento. A Zebra continuará a fornecer atualizações por meio de sua equipe de conta e de nossos canais de comunicação com o cliente, e nossa página de suporte será atualizada à medida que novas informações estiverem disponíveis. As perguntas podem ser direcionadas para productinstallation@zebra.com .

Fontes

Esta informação destina-se apenas a uso interno da organização receptora. Ele reflete o conhecimento da Zebra em 22 de outubro de 2026 e pode ser atualizado.

Disclaimer: zebra faz todas as tentativas de liberar atualizações de segurança sobre ou sobre o tempo que o Google libera seu respectivo boletim de segurança. No entanto, o tempo de entrega das atualizações de segurança pode variar dependendo da região, modelo de produto e fornecedores de software de terceiros. Em algumas circunstâncias, o sistema operacional deve ser atualizado para a versão de manutenção mais recente antes de instalar as atualizações de segurança. As atualizações individuais do produto fornecerão orientação específica.

Salvo indicação em contrário, não houve relatos de exploração ou abuso de clientes ativos dessas questões recém-relatadas.

Você está ciente de um potencial problema de segurança com um produto da Zebra Technologies?