INCIBE-CERT ha publicado un aviso de severidad crítica por dos vulnerabilidades de PHP que afectan al servidor REGARD 7000 OPC UA de Dräger, un equipo de seguridad industrial.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, ha emitido el aviso SCI INCIBE-2026-821 por dos fallos críticos de PHP en el servidor REGARD 7000 OPC UA de Dräger.
- ¿Dónde y cuándo? El aviso se publicó el martes 3 de noviembre de 2026, a las 11:48 horas, y afecta a instalaciones industriales que operen ese servidor.
- ¿Qué resultado? Dos fallos de severidad 5 sobre 5 (CVE-2026-109618 y CVE-2026-109619) que permitirían ejecución remota de código; la explotación no consta confirmada y el fabricante ha anunciado una actualización.
Dos fallos de PHP que habilitan la ejecución remota de código
El origen del problema está en PHP, el lenguaje de programación que sostiene buena parte de las interfaces web y de los servicios de aplicación desplegados en entornos corporativos. En este caso el fallo se localiza en un servidor OPC UA (el protocolo estándar de comunicación entre los sistemas de control industrial y las plataformas de supervisión), lo que sitúa el riesgo en la frontera entre la red de planta y los sistemas de información.
El primero de los fallos, CVE-2026-109618, tiene su raíz en un agotamiento de memoria que puede dejar datos internos de PHP sin inicializar. Esa condición habilita, según la evaluación del fabricante recogida en el aviso, la ejecución remota de código por parte de un atacante que consiga alcanzar el servicio expuesto.
El segundo, CVE-2026-109619, responde a un patrón clásico de gestión de memoria: el uso de referencias globales a posiciones ya liberadas. El resultado potencial es el mismo, ejecución remota de código, y la clasificación asignada por INCIBE-CERT es idéntica: severidad 5 sobre 5, crítica. Ninguno de los dos aparece marcado como explotado en la ficha pública.
Un único producto afectado y una actualización aún sin fecha
La evaluación publicada por Dräger acota el alcance con precisión: REGARD 7000 OPC UA Server es el único producto de seguridad industrial identificado como afectado. Los dispositivos y el software médicos, así como los productos Dräger Service evaluados, no están afectados al no utilizar PHP. El riesgo se concentra, por tanto, en una gama concreta de equipos de seguridad industrial desplegados en planta.
El aviso INCIBE-2026-821 califica ambos fallos como críticos y sitúa al REGARD 7000 OPC UA Server como el único producto industrial afectado de la gama evaluada.
En materia de mitigación, Dräger ha anunciado una actualización y recomienda instalarla cuando esté disponible. La fuente pública verificada no identifica una versión corregida ni una fecha de entrega, de modo que la referencia válida es la información oficial de seguridad del fabricante, que conviene consultar antes de cualquier despliegue. INCIBE-CERT recomienda seguir las instrucciones del fabricante para la aplicación del parche.
Mientras no exista versión corregida, los responsables de planta deben tratar el servidor como un activo expuesto: inventariar los equipos afectados, revisar qué servicios publican la interfaz OPC UA y restringir el acceso desde redes no confiables. La contención de red no elimina la vulnerabilidad, pero reduce la superficie disponible para un intento de explotación.
El panorama de la ciberseguridad
La aparición de fallos de PHP en un servidor industrial resume la convergencia entre tecnología de la información y tecnología de operación que define el mapa de amenazas actual. Los sistemas de control han dejado de ser islas cerradas: se apoyan en componentes software estandarizados, los mismos que el cibercrimen escruta de forma sistemática. Los avisos SCI de INCIBE-CERT (la catalogación pública de vulnerabilidades en sistemas de control industrial y entornos críticos) existen precisamente para anticipar ese riesgo antes de que haya un exploit en circulación.
Los datos del propio aviso permiten dimensionar el caso con precisión. La evaluación del fabricante cubre dos vulnerabilidades de severidad crítica y, de toda la gama analizada, solo un producto queda señalado como afectado, lo que evidencia un ejercicio de acotación relevante para los operadores. A ello se suma que ninguno de los dos CVE figura como explotado, un factor que otorga margen para actualizar sin la urgencia de un incidente en curso.
La pelota queda ahora en el tejado del fabricante y de los responsables de planta. INCIBE-CERT mantiene el aviso SCI INCIBE-2026-821 activo en su catálogo de alerta temprana y actualizará la ficha cuando Dräger publique la versión corregida. Hasta entonces, la recomendación oficial es inequívoca: aplicar el parche en cuanto esté disponible y verificar previamente la versión desplegada en cada instalación. La vigilancia del catálogo de avisos SCI sigue siendo la vía más rápida para anticiparse a este tipo de fallos en entornos industriales.
