Oracle añadió Oracle Secure Backup 19.1.0.0.0–19.1.0.1.0 a la revisión 2 de su aviso PHP2Shell el 26 de octubre de 2026. La lista revisada incluye ocho familias de Oracle Communications, Oracle Solaris 11 y Secure Backup. Ese mismo día, INCIBE-CERT publicó la alerta INCIBE-2026-790, con nivel de importancia 5, «Crítica».
Productos y versiones que Oracle enumera
Oracle identifica diez entradas de producto en la revisión 2. Para comprobar si un sistema figura en el aviso, estas son las versiones indicadas:
| Producto | Versiones afectadas que enumera Oracle |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Qué describen los dos CVE
Oracle indica que CVE-2026-109618 puede explotarse de forma remota a través de HTTP sin autenticación y le asigna una puntuación base de 9,8 en CVSS 3.1, un sistema para puntuar la gravedad de las vulnerabilidades. Esa puntuación corresponde a CVE-2026-109618; Oracle también señala que el parche para ese CVE aborda CVE-2026-109619.
INCIBE-CERT describe CVE-2026-109618 como un fallo en la gestión de errores por falta de memoria que puede dejar datos de una petición sin inicializar y permitir después la ejecución remota de código. Para CVE-2026-109619, describe un problema en el que PHP conserva referencias globales a memoria liberada que podrían utilizar peticiones posteriores para ejecutar código arbitrario.
En la alerta publicada el 26 de octubre, INCIBE-CERT marcó la explotación conocida como «No» para ambos CVE. Ese es el valor que figuraba en el aviso en el momento de su publicación.
Parche y versiones con soporte
Oracle indica que su programa Security Alert ofrece parches para versiones cubiertas por Premier Support o Extended Support. También advierte de que las versiones anteriores no se probaron para estas vulnerabilidades, aunque probablemente estén afectadas, y recomienda actualizar a versiones con soporte.
El aviso de seguridad de Oracle reúne la lista de productos y enlaza la documentación específica sobre disponibilidad e instalación de parches.
