Actualización importante: A partir del 1 de julio de 2026, Zebra implementará la autenticación multifactor (MFA) obligatoria para mejorar la seguridad. Más información

Vulnerabilidad PHP2Shell (CVE-2026-109618 / CVE-2026-109619) – Zebra información al cliente

Estado de Zebra
Zebra ha evaluado los servicios y aplicaciones que ofrece a los clientes para determinar su exposición a las vulnerabilidades de PHP2Shell, y cada uno ha sido confirmado como ya parcheado o no afectado. Zebra también ha identificado sus otros sistemas afectados por PHP2Shell y está aplicando parches de forma activa, y se espera que la aplicación de parches en todos los sistemas afectados se complete hoy, 22 de octubre de 2026. Como precaución, los sistemas afectados orientados a la web se han desconectado y permanecerán desconectados hasta que se haya aplicado el parche.

Resumen
El 21 de octubre de 2026, el proyecto PHP lanzó actualizaciones de seguridad de emergencia para dos vulnerabilidades críticas en PHP, el lenguaje de scripting web de código abierto. Las fallas se rastrean como CVE-2026-109618 y CVE-2026-109619 y se denominan colectivamente PHP2Shell.

Ambas fallas involucran cómo PHP maneja la memoria durante las solicitudes web. Podrían permitir que un atacante no autenticado ejecute código en un servidor web vulnerable. El proyecto PHP califica ambos 9.2 de 10 bajo CVSS 4.0 y afirma que la actualización es la única solución completa.

Detalles técnicos

CVE-2026-109618: Manejo sin memoria

Este defecto proviene de cómo respondió PHP cuando se quedó sin memoria. PHP usó un mecanismo llamado longjmp() para salir abruptamente de la operación actual. En algunos casos, esa salida dejaba los datos de la solicitud solo parcialmente inicializados. El proceso de cierre posterior de PHP podría actuar sobre los datos no válidos, creando una ruta para la ejecución remota de código.

Según el aviso de PHP, los datos de formularios de varias partes pueden ayudar a desencadenar la condición. Los ejemplos incluyen una solicitud con muchos encabezados dentro de una parte, o muchos campos de archivo vacíos que aún hacen que PHP cree metadatos.

Corrección: PHP ahora retrasa un elegante error de falta de memoria hasta un punto seguro en lugar de salir bruscamente. Un límite duro separado controla la presión de memoria más severa.

CVE-2026-109619: estado obsoleto en trabajadores de larga ejecución

Esta falla implica un estado global obsoleto en los trabajadores de PHP de larga ejecución. Un trabajador puede conservar una referencia a la memoria de una solicitud después de que PHP haya liberado esa memoria. Si un error interrumpe la limpieza y una solicitud posterior alcanza ese estado sobrante antes de que se restablezca, el trabajador puede usar memoria no válida.

Debido a que los trabajadores web manejan las solicitudes una tras otra, el estado que deja una solicitud puede afectar a una posterior. Las rutas confirmadas del aviso implican errores fatales, datos de informe de errores y manejo del progreso de carga de la sesión. Los casos confirmados incluyen un escenario mod_php y una ruta PHP-FPM que depende del comportamiento de la aplicación.

Si un servidor específico está expuesto depende de su configuración, aplicación y extensiones de PHP. Estos factores no reducen la urgencia de parchear.

Solución: PHP ahora restablece un rango más amplio de estado global relacionado con la solicitud, por lo que es menos probable que un trabajador lleve referencias no válidas entre solicitudes.

Actualizaciones y contacto
Este es un evento continuo. Zebra seguirá proporcionando actualizaciones a través de su equipo de cuentas y nuestros canales de comunicación con los clientes, y nuestra página de soporte se actualizará a medida que haya nueva información disponible. Las preguntas se pueden dirigir a productsecurity@zebra.com .

Fuentes

Esta información está destinada únicamente al uso interno de la organización receptora. Refleja el entendimiento de Zebra a partir del 22 de octubre de 2026 y puede actualizarse.

Descargo de responsabilidad: Zebra hace todo lo posible para publicar actualizaciones de seguridad en el momento en que Google publica su respectivo boletín de seguridad. Sin embargo, el tiempo de entrega de las actualizaciones de seguridad puede variar según la región, el modelo de producto y los proveedores de software de terceros. En algunas circunstancias, el sistema operativo debe actualizarse a la versión de mantenimiento más reciente antes de instalar las actualizaciones de seguridad. Las actualizaciones individuales de productos proporcionarán orientación específica.

A menos que se indique lo contrario, no ha habido informes de explotación activa del cliente o abuso de estos problemas recientemente reportados.

¿Es consciente de un posible problema de seguridad con un producto de Zebra Technologies?