El INCIBE-CERT ha alertado de dos vulnerabilidades de severidad crítica en productos Oracle que permiten la ejecución remota de código sin autenticación.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado una alerta temprana por dos vulnerabilidades críticas de PHP, conocidas como PHP2Shell, en productos Oracle Communications y Oracle Solaris.
- ¿Dónde y cuándo? Aviso publicado este lunes 26 de octubre de 2026 a las 11:30 horas con el identificador INCIBE-2026-790.
- ¿Qué resultado? Nueve líneas de producto afectadas, severidad 5 – Crítica y estado de explotación conocido «No» en ambos casos.
El aviso, emitido por el INCIBE-CERT —el equipo de respuesta a incidentes del INCIBE (Instituto Nacional de Ciberseguridad, el organismo del Gobierno que gestiona la ciberseguridad de empresas y ciudadanos)— otorga a los dos fallos la máxima calificación de la escala: severidad 5, crítica. Los productos señalados pertenecen a las familias Oracle Communications y Oracle Solaris, empleadas por operadores de telecomunicaciones y administraciones para la gestión de señalización y de infraestructura de red.
La alerta temprana se publicó este lunes 26 de octubre de 2026 a las 11:30 horas bajo el identificador INCIBE-2026-790. El organismo no ha detectado, por el momento, explotación activa de ninguna de las dos vulnerabilidades: el campo de explotación conocido figura como «No» en la ficha oficial, lo que deja la ventana de actuación en manos de la velocidad de parcheo de los responsables de cada infraestructura.
Nueve líneas de producto afectadas, de la señalización al sistema operativo
El listado de recursos afectados es amplio y toca varias capas de la red de un operador. En la capa de señalización figuran Oracle Communications Diameter Signaling Router en sus versiones 8.6.0 y 9.0.0, el router que encamina el tráfico Diameter —el protocolo que sostiene la autenticación y la facturación en las redes móviles 4G y 5G—, y Oracle Communications EAGLE Application Processor en las versiones 17.0 y 17.1.
El resto de productos señalados son EAGLE Element Management System 47.0, EAGLE LNP Application Processor 11.1, LSMS 14.0, Performance Intelligence Center (PIC) Software 10.4 y 10.5, Unified Assurance de 6.1.1 a 7.0.0, User Data Repository 15.0 y Oracle Solaris 11. El aviso no detalla el número de operadores o administraciones que emplean estas versiones en producción.
Dos fallos, nueve líneas de producto y una calificación de cinco sobre cinco: el aviso afecta a componentes que sostienen la señalización de las redes de telecomunicaciones.
La combinación de un fallo en el sistema operativo y varios fallos en la capa de aplicación amplía el perímetro a revisar. Los productos de gestión de EAGLE y el sistema de datos de usuario manejan información de abonado y de encaminamiento, por lo que la prioridad de actualización debe fijarse según la exposición real de cada nodo.
Dos fallos de gestión de memoria que abren la puerta a la ejecución remota
El primer fallo, CVE-2026-109618, se localiza en el tratamiento de errores por falta de memoria. Según la descripción técnica recogida por el INCIBE-CERT, esa condición puede dejar sin inicializar datos de una petición; su utilización posterior permitiría la ejecución remota de código en el sistema afectado.
El segundo, CVE-2026-109619, afecta a la gestión de referencias globales: PHP puede conservar referencias a memoria ya liberada y las peticiones siguientes podrían apoyarse en ese estado obsoleto para ejecutar código arbitrario. Ambos comparten el mismo vector de entrada —una petición dirigida al servicio— y no exigen autenticación previa, lo que eleva el riesgo en sistemas expuestos a redes externas.
La solución pasa por aplicar los parches específicos de cada producto siguiendo los documentos de disponibilidad e instalación enlazados desde la propia alerta de Oracle. El parche que corrige CVE-2026-109618 también resuelve CVE-2026-109619, de modo que una única actualización cubre las dos vulnerabilidades en los productos afectados. El INCIBE-CERT recomienda priorizar la actualización en los sistemas con exposición directa y revisar los registros de acceso en busca de peticiones anómalas anteriores a la instalación del parche.
El panorama de la ciberseguridad
El aviso se enmarca en el goteo constante de vulnerabilidades de severidad crítica que afectan a software de proveedor único en infraestructuras de comunicaciones. La calificación 5 – Crítica y la ausencia, por ahora, de explotación conocida dibujan el escenario habitual de este tipo de alertas: una ventana de exposición que se mide en días y que depende directamente de la agilidad con la que los responsables de infraestructura apliquen el parche.
El catálogo de alerta temprana del INCIBE-CERT publica de forma continua avisos de este tipo, con el identificador del CVE, la severidad asignada, el estado de explotación y el fabricante responsable de la corrección. En este caso el fabricante es Oracle y el estado de explotación es «No», lo que sitúa el margen de actuación en la franja previa a la aparición de pruebas de concepto públicas y de intentos de escaneo masivo.
En España, la coordinación entre el INCIBE-CERT y el CCN-CERT (el equipo de respuesta ante incidentes del Centro Criptológico Nacional, dependiente del CNI, que protege las infraestructuras críticas y las administraciones públicas) resulta determinante cuando los productos afectados sostienen servicios esenciales para el país. Este esquema de doble capa permite que una alerta técnica llegue al operador y al organismo público con el mismo nivel de detalle y en el mismo tramo horario.
La revisión del parcheado en la capa de señalización merece una atención particular: los nodos Diameter y EAGLE operan en el núcleo de red y su disponibilidad condiciona el servicio al usuario final, por lo que las ventanas de mantenimiento deben planificarse con antelación y coordinarse con los equipos de explotación. Las versiones recogidas en el aviso son concretas, lo que facilita el inventario previo y la comprobación del parque realmente expuesto.
El aviso podrá actualizarse si Oracle publica nuevos parches o si aparece explotación en entornos reales. La referencia oficial sigue siendo el identificador INCIBE-2026-790 y la documentación de seguridad del fabricante enlazada desde la alerta temprana. La ciberseguridad de las telecomunicaciones no admite improvisación: cada actualización pendiente es una puerta abierta durante un tiempo medible.
