¿Qué busca?
Aviso de seguridad: Vulnerabilidad en PHP
CVE-2026-109618 y CVE-2026-109619
30 de octubre de 2026
Visión general
Keysight tiene constancia de dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, detectadas en el lenguaje de programación PHP que podrían permitir la ejecución remota de código (RCE). Ambas se hicieron públicas el 21 de octubre de 2026, y el proyecto PHP les ha asignado a cada una una puntuación de 9,2 (crítica) en la escala CVSS v4.0. Se han notificado públicamente intentos de explotación.
La vulnerabilidad CVE-2026-109618 se debe a un manejo incorrecto de las condiciones de falta de memoria, lo que puede dejar la memoria de la solicitud en un estado no válido o parcialmente inicializado, lo que podría provocar una corrupción de memoria durante la limpieza de la solicitud y dar lugar a una ejecución remota de código (RCE). CVE-2026-109619 se debe a que el estado de una solicitud de PHP puede seguir haciendo referencia a la memoria después de que esta haya sido liberada; una solicitud posterior en el mismo trabajador podría utilizar este estado obsoleto antes de que se haya inicializado por completo, lo que también puede dar lugar a una ejecución remota de código (RCE). El proyecto PHP ha publicado correcciones en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
A fecha de 27 de octubre, Keysight sigue evaluando el posible impacto de estas vulnerabilidades en toda su gama de productos. Según las evaluaciones realizadas hasta la fecha, la mayoría de los emuladores de tráfico IP, inalámbricos y de seguridad de Keysight, así como los productos de supervisión de operaciones de red (anteriormente Ixia NAS), no se ven afectados¹ porque o bien no utilizan PHP, o bien el componente de PHP afectado se ha eliminado de la versión de software correspondiente. En el caso de los productos identificados como afectados, la lista que figura a continuación recoge el estado de las vulnerabilidades correspondientes y las medidas de corrección o mitigación recomendadas.
Productos afectados, medidas de mitigación y acciones recomendadas
| Producto afectado | Mitigación | Acción recomendada |
|---|---|---|
| Hawkeye — Podría verse afectado por CVE-2026-109619. Hawkeye utiliza PHP 8.2.33 con Nginx. El equipo de ingeniería ha determinado que Hawkeye no se ve afectado por CVE-2026-109618. Se considera poco probable que exista exposición a CVE-2026-109619, aunque no se ha descartado de forma concluyente. | Keysight está preparando una actualización de PHP 8.2.35 en la versión v6.1.1-101. | Los clientes deben estar atentos a las novedades de Keysight Support e instalar la actualización de software correspondiente cuando esté disponible. |
| iBypass HD — Vulnerable cuando el servidor web está activado. iBypass HD utiliza PHP 5.6.31. El producto ha dejado de desarrollarse y no está prevista ninguna nueva versión del software. | El servidor web está desactivado de forma predeterminada. Si se ha activado explícitamente, desactívalo mediante el comando de la CLI que se indica en «Acción recomendada». | Los clientes deben mantener el servidor web desactivado. Si el servidor web estuviera activado, desactívalo desde la CLI con: websrv set admin=disable |
Productos considerados no vulnerables
| Productos considerados no vulnerables | Acción recomendada |
|---|---|
| Dispositivos Vision Network Packet Brokers que ejecutan NVOS 6.6.0 o una versión posterior El componente PHP en cuestión se eliminó a partir de la versión 6.6.0. Esta evaluación incluye Vision 7300, Vision Edge 10S (E10S), Vision Edge 40 (E40), Vision Edge 50 (E50), Vision Edge 100 (E100), Vision 7712, Vision 7816, Vision X, Vision ONE, TradeVision, Vision 400, Vision Edge 400P (E400P), Vision 400XT (V400XT), Vision X 400G (VX 400G), Vision Edge OS - 9516 (9516), Vision Edge 400P Rev2 (E400P Rev2) y Vision Edge 400S (E400S). | Los clientes deben comprobar que los sistemas funcionen con NVOS 6.6.0 o una versión posterior. Los clientes que utilicen una versión anterior deben ponerse en contacto con el servicio de asistencia de Keysight para obtener instrucciones específicas. |
Vision Industrial Network Packet Brokers | No es necesario realizar ninguna acción. |
| Software de visibilidad y productos en la nube Keysight Vision Orchestrator (KVO), Virtual Packet Broker (vPB), 5G Service-Based Interface (5G SBI), CloudLens vTAP, AppStack y TimeKeeper no utilizan PHP. | No es necesario realizar ninguna acción. |
| Productos iBypass e iLinkAgg Los modelos IXPR-CU3, IXTP-CU3, IXBP-CU3, iBypass DUO, iBypass 100G, iBypass VHD e iLinkAgg2 no utilizan PHP. El resto de la gama evaluada no utiliza PHP ni ofrece una interfaz gráfica basada en PHP. | No es necesario realizar ninguna acción. |
| Productos ThreatARMOR | No es necesario realizar ninguna acción. |
| IFC-CM (Indigo Pro) | No es necesario realizar ninguna acción. |
| Productos de pruebas de red IxNetwork no utiliza PHP Web Runtime; las ediciones IxNetwork VE (ediciones virtuales) y BreakingPoint VE no son vulnerables; IxLoad, CyPerf, BreakingPoint System (BPS), IxOS, IxVeriwave, LoadCore y KCOS no utilizan PHP. | No es necesario realizar ninguna acción. |
En el caso de productos o versiones que no figuren explícitamente en la lista, ponte en contacto con el servicio de asistencia de Keysight para obtener una evaluación específica del producto.
Detalles de la vulnerabilidad
| CVE | Descripción | CVSS v4.0 | Corregido en PHP |
|---|---|---|---|
| CVE-2026-109618 | Ejecución remota de código mediante una vulnerabilidad de corrupción por falta de memoria: una solicitud interrumpida deja datos internos parcialmente inicializados, y el proceso de limpieza de la solicitud los trata como válidos. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| CVE-2026-109619 | Ejecución remota de código a través de un estado global obsoleto: el estado asociado a una solicitud persiste tras liberarse su memoria y es reutilizado por una solicitud posterior en el mismo trabajador. | 9.2 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
El proyecto PHP afirma que todas las instalaciones de PHP que atienden solicitudes web están en riesgo, incluidas PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. Las versiones 8.1 y anteriores de PHP ya no reciben actualizaciones del proyecto PHP.
Posible impacto
- Ejecución de código controlado por el atacante en un servidor web vulnerable sin necesidad de autenticación, lo que puede dar lugar al acceso al sistema de archivos y a las bases de datos, así como a la interrupción de los servicios.
- Posible divulgación del contenido de la memoria, como credenciales, claves o datos de sesión.
Una interfaz de gestión comprometida puede servir como punto de acceso a la red circundante.
Si tiene más preguntas, póngase en contacto con Keysight.
1. Keysight ha realizado todos los esfuerzos comercialmente razonables para elaborar la lista de productos afectados por la vulnerabilidad de PHP. Keysight ofrece esta información para su comodidad y no garantiza que sea exhaustiva.
¿Necesita ayuda o tiene alguna pregunta?