Le 26 octobre 2026, Oracle a ajouté Oracle Secure Backup 19.1.0.0.0–19.1.0.1.0 à la deuxième révision de son avis PHP2Shell. La liste révisée comprend aussi huit familles Oracle Communications et Oracle Solaris 11. Le même jour, INCIBE-CERT a publié l’alerte INCIBE-2026-790 sur les deux vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619.
Les produits et versions concernés
Oracle énumère dix entrées de produits et versions dans la révision 2 de son avis :
| Produit | Versions indiquées par Oracle |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Les versions concernées de Solaris sont donc celles de Solaris 11 mentionnées par Oracle, et non toutes les versions de Solaris. Pour Secure Backup, l’ajout à la liste porte sur les versions 19.1.0.0.0 à 19.1.0.1.0.
Accès et gravité des vulnérabilités
Oracle indique que CVE-2026-109618 peut être exploitée à distance via HTTP, sans authentification. Pour cette vulnérabilité, Oracle attribue un score de base CVSS 3.1 de 9,8 dans les matrices des produits concernés. Ce score est associé à CVE-2026-109618 ; il ne constitue pas un score distinct attribué à CVE-2026-109619.
Les deux failles sont liées à la gestion de la mémoire PHP. INCIBE-CERT décrit, pour CVE-2026-109618, une erreur de gestion d’un manque de mémoire susceptible de laisser des données de requête non initialisées et de permettre l’exécution de code à distance. Pour CVE-2026-109619, l’alerte décrit des références globales conservées par PHP vers de la mémoire libérée, que des requêtes ultérieures pourraient utiliser pour exécuter du code arbitraire. INCIBE-CERT a classé son alerte au niveau d’importance 5, « Critique ». Dans le champ consacré à l’exploitation connue, l’organisme indiquait « Non » au moment de la publication de l’alerte, le 26 octobre.
Le correctif et les versions prises en charge
Oracle indique que le correctif de CVE-2026-109618 traite également CVE-2026-109619. Son avis de sécurité renvoie aux informations de disponibilité et aux consignes d’installation propres à chaque produit.
Oracle réserve les correctifs de son programme Security Alert aux versions couvertes par Premier Support ou Extended Support. L’entreprise précise que les versions antérieures n’ont pas été testées pour ces vulnérabilités, mais qu’elles sont probablement aussi concernées, et recommande de passer à une version prise en charge.
