Oracle ergänzte seine PHP2Shell-Sicherheitswarnung am 26. Oktober 2026 um Oracle Secure Backup, Versionen 19.1.0.0.0 bis 19.1.0.1.0. Die revidierte Liste umfasst zehn Produkteinträge: acht Produktfamilien von Oracle Communications, Oracle Solaris 11 und Oracle Secure Backup. Am selben Tag veröffentlichte INCIBE-CERT den Hinweis INCIBE-2026-790 zu den beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619.
Welche Oracle-Produkte und Versionen betroffen sind
Oracle führt folgende Produktversionen in der überarbeiteten Warnung auf. Für Oracle Solaris nennt das Unternehmen Version 11.
| Oracle-Produkt | Von Oracle aufgeführte Versionen |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Angriffsweg und Bewertung der Schwachstellen
Oracle beschreibt CVE-2026-109618 als über HTTP aus der Ferne und ohne Authentifizierung ausnutzbar. Für diese CVE nennt Oracle in den Risikomatrizen einen Basiswert von 9,8 nach CVSS 3.1. Dieser Wert bezieht sich auf CVE-2026-109618; Oracle führt ihn nicht als separaten Wert für CVE-2026-109619 auf.
Oracle weist außerdem darauf hin, dass die Angabe HTTP in der Risikomatrix auch sichere Varianten wie HTTPS einschließt. HTTPS wird dort nur gesondert aufgeführt, wenn ausschließlich die sichere Variante betroffen ist.
INCIBE-CERT beschreibt CVE-2026-109618 als Fehler bei der Behandlung von Speichermangel, durch den Anfragedaten uninitialisiert bleiben können. CVE-2026-109619 betrifft laut INCIBE-CERT globale PHP-Referenzen auf bereits freigegebenen Speicher, die spätere Anfragen verwenden könnten. Beide Fehler könnten dadurch die Ausführung von Code aus der Ferne ermöglichen.
Der INCIBE-CERT-Hinweis vom 26. Oktober stufte die Schwachstellen als „kritisch“ ein und vermerkte für beide CVEs bei der Veröffentlichung „Nein“ im Feld zur bekannten Ausnutzung.
Ein Patch für beide CVEs und klare Supportgrenzen
Oracle erklärt, dass der Patch für CVE-2026-109618 auch CVE-2026-109619 behebt. Für die Verfügbarkeit und Installation der jeweiligen Produkt-Patches verweist Oracle auf produktspezifische Dokumente in der Sicherheitswarnung.
Patches aus Oracles Security-Alert-Programm gibt es laut Unternehmen nur für Produktversionen, die durch Premier Support oder Extended Support abgedeckt sind. Oracle hat frühere Versionen der betroffenen Releases nicht auf diese Schwachstellen getestet, hält sie aber wahrscheinlich ebenfalls für betroffen. Das Unternehmen empfiehlt ein Upgrade auf unterstützte Versionen.
