El INCIBE-CERT ha publicado este lunes el aviso INCIBE-2026-784 sobre dos vulnerabilidades críticas de PHP que afectan al RUGGEDCOM APE1808 de Siemens.
El INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, ha emitido la alerta a las 11:14 horas de este lunes 26 de octubre dentro de su serie de avisos tempranos sobre sistemas de control industrial. El foco son los equipos RUGGEDCOM APE1808 que incorporan versiones vulnerables de Palo Alto Networks PAN-OS de las ramas 10.2, 11.1, 11.2, 12.1 y 12.2, sobre dos vulnerabilidades críticas de PHP que Siemens ha reconocido en dos boletines propios.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica el aviso INCIBE-2026-784 por dos vulnerabilidades críticas de PHP que afectan al RUGGEDCOM APE1808 de Siemens cuando incorpora PAN-OS vulnerable.
- ¿Dónde y cuándo? Aviso emitido el lunes 26 de octubre de 2026 a las 11:14 horas, con alcance sobre equipos desplegados en entornos de control industrial.
- ¿Qué resultado? Dos CVE críticas, CVE-2026-109618 y CVE-2026-109619, con capacidad de ejecución remota de código y sin explotación confirmada en el momento de la publicación.
Dos vulnerabilidades críticas de PHP con ejecución remota de código
El primero de los fallos, CVE-2026-109618, afecta al tratamiento de errores por falta de memoria en PHP: esa condición puede dejar datos sin inicializar y habilitar la ejecución remota de código. El segundo, CVE-2026-109619, se apoya en referencias globales a memoria previamente liberada, un patrón de use-after-free que permite ejecutar código arbitrario. Ambos figuran con severidad crítica en la ficha del aviso.
La combinación es relevante porque PHP es una pieza ubicua en la capa de gestión de numerosos productos industriales. En el caso del RUGGEDCOM APE1808, Siemens ha confirmado la afectación cuando el equipo incorpora PAN-OS vulnerable, y Palo Alto Networks describe un impacto directo en la disponibilidad con severidad alta. La explotación, sin embargo, no consta en el momento de la publicación del aviso.
El documento acota el alcance con precisión: los productos de software enumerados en el boletín SSA-566435 de Siemens, entre ellos Opcenter, Polarion y los componentes de Teamcenter señalados en ese texto, no están afectados. El perímetro real son los dispositivos APE1808 con las ramas 10.2, 11.1, 11.2, 12.1 y 12.2 de PAN-OS en versiones vulnerables, es decir, equipos instalados en entornos de control industrial y, en muchos casos, conectados a redes de planta.
El aviso se sitúa en el nivel 5 de severidad, el máximo de la escala del INCIBE-CERT, aunque no consta explotación activa.
Parcheo con Siemens y administración restringida
La recomendación del INCIBE-CERT es directa: contactar con el soporte de Siemens para obtener las instrucciones de parcheado y actualización aplicables al RUGGEDCOM APE1808, y aplicar las medidas recogidas en el boletín de Palo Alto Networks. Entre ellas destaca una de efecto inmediato y bajo coste, restringir la administración del dispositivo a direcciones IP internas de confianza.
El aviso INCIBE-2026-784 remite a tres documentos técnicos —SSA-566512, SSA-566435 y el boletín de Palo Alto Networks sobre el impacto de las vulnerabilidades críticas de PHP en sus productos— y se enmarca en una oleada más amplia de alertas sobre plataformas de control industrial. La serie publicada este lunes alcanza también a entornos de ABB, HMS y B&R afectados por la misma familia de fallos en PHP.
El panorama de la ciberseguridad
Los sistemas de control industrial (ICS, por sus siglas en inglés) se han convertido en uno de los flancos más sensibles de la seguridad nacional: gobiernan desde subestaciones eléctricas hasta plantas de tratamiento de agua, y su vida útil se mide en décadas, muy por encima del ciclo de actualización del software que incorporan. La lección de este aviso es de cadena de suministro: un equipo industrial que integra un sistema operativo de terceros hereda, sin filtro, todas sus vulnerabilidades.
El dato que ordena la gravedad es la propia clasificación del INCIBE-CERT: nivel 5 sobre una escala de cinco, el máximo. A ello se suma que la explotación figura como no confirmada, lo que sitúa la ventana de actuación en el terreno de la prevención y no de la respuesta a incidentes. El servicio de alerta temprana del organismo publica cada aviso con identificador único, referencias cruzadas a los boletines del fabricante y mitigaciones concretas, de modo que los responsables de planta pueden actuar sin depender de intermediarios.
La proyección es operativa y a corto plazo. Los responsables de infraestructuras con equipos APE1808 desplegados deben inventariar los dispositivos, verificar la rama de PAN-OS instalada y abrir incidencia con el fabricante. Mientras no exista parche aplicado, la restricción del acceso administrativo a rangos internos de confianza reduce de forma sustancial la superficie expuesta. El CCN-CERT, el equipo de respuesta del Centro Criptológico Nacional dependiente del CNI, mantiene su propio canal de avisos para infraestructuras críticas y administraciones públicas, complementario al del INCIBE-CERT.
No hay, por ahora, indicios de explotación activa. Pero la combinación de severidad crítica, ejecución remota de código y equipos instalados en redes industriales exige tratar este aviso como prioridad alta en las próximas horas, no como un boletín más del calendario.
