Lanzamiento: el nuevo centro de asistencia de Zebra ya está disponible. ¡Descubra una experiencia de asistencia más inteligente y más rápida!

Vulnerabilidad PHP2Shell (CVE-2026-109618 / CVE-2026-109619) – Información del cliente de Zebra

Estado de Zebra
Zebra ha evaluado los servicios y aplicaciones que ofrece a los clientes para determinar su exposición a las vulnerabilidades de PHP2Shell, y cada uno ha sido confirmado como ya sea parcheado o no afectado. Zebra también ha identificado sus otros sistemas afectados por PHP2Shell y está aplicando parches activamente, y se espera que el parche de todos los sistemas afectados se complete hoy, 22 de octubre de 2026. Como precaución, los sistemas afectados orientados a la web se han desconectado y permanecerán fuera de línea hasta que se haya aplicado el parche.

Visión general
El 21 de octubre de 2026, el proyecto PHP lanzó actualizaciones de seguridad de emergencia para dos vulnerabilidades críticas en PHP, el lenguaje de secuencias de comandos web de código abierto. Las fallas se rastrean como CVE-2026-109618 y CVE-2026-109619 y se denominan colectivamente PHP2Shell.

Ambas fallas involucran cómo PHP maneja la memoria durante las solicitudes web. Podrían permitir que un atacante no autenticado ejecute código en un servidor web vulnerable. El proyecto PHP califica ambos 9.2 de 10 bajo CVSS 4.0 y afirma que la actualización es la única solución completa.

Detalles técnicos

CVE-2026-109618: manejo de memoria insuficiente

Este defecto proviene de cómo respondió PHP cuando se quedó sin memoria. PHP usó un mecanismo llamado longjmp() para salir abruptamente de la operación actual. En algunos casos, esa salida dejaba los datos de la solicitud solo parcialmente inicializados. El proceso de apagado posterior de PHP podría actuar sobre los datos no válidos, creando una ruta hacia la ejecución remota de código.

Según el aviso de PHP, los datos del formulario de varias partes pueden ayudar a desencadenar la condición. Los ejemplos incluyen una solicitud con muchos encabezados dentro de una parte, o muchos campos de archivo vacíos que aún hacen que PHP cree metadatos.

Solución: PHP ahora retrasa un elegante error de memoria insuficiente hasta un punto seguro en lugar de salir abruptamente. Un límite duro separado controla la presión de memoria más severa.

CVE-2026-109619: estado stale en trabajadores de larga ejecución

Esta falla involucra un estado global obsoleto en los trabajadores de PHP de larga ejecución. Un trabajador puede conservar una referencia a la memoria de una solicitud después de que PHP haya liberado esa memoria. Si un error interrumpe la limpieza y una solicitud posterior alcanza ese estado restante antes de que se restablezca, es posible que el trabajador utilice memoria no válida.

Debido a que los trabajadores web controlan las solicitudes una tras otra, el estado que deja una solicitud puede afectar a una posterior. Las rutas confirmadas del aviso implican errores fatales, datos de informe de errores y manejo del progreso de carga de la sesión. Los casos confirmados incluyen un escenario mod_php y una ruta PHP-FPM que depende del comportamiento de la aplicación.

La exposición de un servidor específico depende de su instalación, configuración, aplicación y extensiones de PHP. Estos factores no reducen la urgencia de parchear.

Solución: PHP ahora restablece un rango más amplio de estado global relacionado con la solicitud, por lo que es menos probable que un trabajador transporte referencias no válidas entre solicitudes.

Actualizaciones y contacto
Este es un evento en curso. Zebra continuará brindando actualizaciones a través de su equipo de cuentas y nuestros canales de comunicación con el cliente, y nuestra página de soporte se actualizará a medida que haya nueva información disponible. Las preguntas se pueden dirigir a productsecurity@zebra.com .

Fuentes

Esta información está destinada únicamente al uso interno de la organización receptora. Refleja el entendimiento de Zebra al 22 de octubre de 2026 y puede actualizarse.

Descargo de responsabilidad: Zebra realiza todos los intentos de publicar actualizaciones de seguridad en o sobre el momento en que Google publica su respectivo boletín de seguridad. Sin embargo, el tiempo de entrega de las actualizaciones de seguridad puede variar según la región, el modelo de producto y los proveedores de software de terceros. En algunas circunstancias, el sistema operativo debe actualizarse a la versión de mantenimiento más reciente antes de instalar las actualizaciones de seguridad. Las actualizaciones individuales de productos proporcionarán orientación específica.

A menos que se indique lo contrario, no ha habido informes de explotación activa del cliente o abuso de estos problemas recientemente informados.

¿Conoce un posible problema de seguridad con un producto de Zebra Technologies?