El INCIBE-CERT alerta de dos vulnerabilidades críticas conocidas como PHP2Shell en SMART EMS de Welotec que permiten ejecución remota de código sin autenticación.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso SCI por dos vulnerabilidades críticas PHP2Shell en SMART EMS de Welotec con ejecución remota de código sin autenticación.
- ¿Dónde y cuándo? Aviso publicado el viernes 30 de octubre de 2026 a las 09:39 horas; afecta a todas las versiones de SMART EMS Web Application anteriores a la 3.5.4.
- ¿Qué resultado? Dos CVE de severidad 5 – Crítica, sin constancia de explotación, con versión corregida 3.5.4 y documento CSAF del fabricante.
El aviso SCI, con identificador INCIBE-2026-813, se publicó este viernes 30 de octubre de 2026 a las 09:39 horas y otorga a los dos fallos la calificación máxima de la escala del organismo, 5 – Crítica. El INCIBE-CERT, el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, dirige la notificación a la aplicación web SMART EMS, empleada en entornos de control industrial y etiquetada por el propio aviso dentro de esa categoría.
Dos fallos de memoria en PHP con ejecución remota sin credenciales
El primero de los fallos, CVE-2026-109618, reside en la gestión incorrecta del agotamiento de memoria. Una petición puede dejar datos sin inicializar y, cuando el sistema los utiliza durante las tareas de limpieza, se produce una corrupción de memoria que acaba abriendo la puerta a la ejecución remota de código. El vector no exige credenciales: basta con alcanzar la interfaz web expuesta.
El segundo, CVE-2026-109619, afecta al ciclo de vida de las referencias globales de PHP. Determinadas referencias pueden seguir apuntando a memoria ya liberada y una petición posterior puede reutilizar ese estado antes de que se reinicialice. El resultado es el mismo: ejecución remota de código sin autenticación, con el proceso PHP como puerta de entrada.
El alcance lo fija el propio aviso sin ambigüedad: todas las versiones de SMART EMS Web Application anteriores a la 3.5.4. La explotación se ejecutaría con los permisos del proceso PHP y del contenedor de la aplicación, de modo que un atacante que lograra entrar obtendría control sobre el servicio sin necesidad de una cuenta válida. La ficha no registra indicios de explotación activa sobre estas versiones.
El aviso INCIBE-2026-813 eleva a severidad crítica un fallo que solo se corrige con la actualización a la versión 3.5.4 o superior del fabricante.
Los investigadores identificados en el aviso como lcfr-hax, sagitzadik-wiz, tomash-areion y amyb-oai comunicaron los dos hallazgos al fabricante para su coordinación. El estado de explotación figura como «No» en la tabla del comunicado y no consta código público dirigido contra las versiones afectadas, un extremo que los equipos de respuesta siguen vigilando en las horas posteriores a la publicación.
Actualización a la versión 3.5.4 y mitigación mientras se aplica el parche
La solución es única y pasa por actualizar SMART EMS a la versión 3.5.4 o posterior, conforme al documento CSAF que el fabricante ha publicado en paralelo al aviso. El CSAF es el formato estándar de divulgación de vulnerabilidades que permite a las herramientas de gestión de parches leer de forma automática el alcance del fallo y la versión corregida.
Mientras la actualización se aplica, el INCIBE-CERT recomienda evitar la exposición directa de la interfaz web a Internet y restringir el acceso a equipos de administración de confianza mediante segmentación de red, cortafuegos o VPN. En sistemas de control industrial la regla es la inversa a la de un servicio web convencional: mínimo privilegio de red y ningún acceso desde fuera de la red de gestión.
El aviso de Welotec forma parte de una tanda más amplia de publicaciones SCI del organismo, que en la misma jornada incluye referencias al OCTO Image Server de Mettler Toledo, también en el ámbito industrial. Las etiquetas del comunicado —sistemas de control industrial, ejecución de código arbitrario, PHP, RCE— sitúan el caso en el segmento que concentra la mayor atención de los equipos de respuesta.
El panorama de la ciberseguridad
La exposición de las interfaces web de sistemas industriales a Internet sigue siendo el vector que más incidencia acumula en los avisos de severidad crítica. Un SMART EMS mal segmentado no es solo un panel de gestión: es una puerta con permisos de proceso y de contenedor y, por tanto, un punto de entrada potencial hacia la red de planta y hacia los sistemas de supervisión conectados.
La coordinación institucional es la parte que rara vez aparece en el titular. El CCN-CERT (el equipo de respuesta ante incidentes del Centro Criptológico Nacional, dependiente del CNI, que protege infraestructuras críticas y administraciones públicas) y el INCIBE-CERT comparten el circuito de notificación con los fabricantes, de modo que un fallo detectado por investigadores independientes llega al administrador industrial con identificador, severidad, versión corregida y mitigaciones en el mismo paquete de información. El aviso INCIBE-2026-813 ilustra ese flujo: dos CVE, severidad 5 sobre 5 y una actualización disponible el mismo día de la publicación.
La proyección es sencilla de leer. Los dos CVE permanecen abiertos hasta que la flota instalada migre a la 3.5.4, y el fabricante mantendrá el documento CSAF actualizado si aparecen nuevas variantes del fallo o revisiones del alcance. Los administradores que no puedan actualizar de inmediato deberían documentar la mitigación aplicada —segmentación, cortafuegos o VPN— y revisar los registros de acceso a la interfaz web en busca de intentos anómalos desde la fecha del aviso.
Dos CVE. Una versión corregida. Y una interfaz web que, hasta que el parche se aplique, no debería estar accesible desde Internet.
