La revisione 2 dell’avviso di sicurezza di Oracle, datata 26 ottobre 2026, ha aggiunto Oracle Secure Backup nelle versioni 19.1.0.0.0–19.1.0.1.0. L’avviso elenca così dieci voci di prodotto, comprese Oracle Solaris 11 e otto famiglie Oracle Communications. Lo stesso giorno INCIBE-CERT ha pubblicato l’allerta INCIBE-2026-790 per le due vulnerabilità PHP2Shell, CVE-2026-109618 e CVE-2026-109619.
Prodotti Oracle e versioni elencate
Oracle indica queste versioni nel suo avviso aggiornato. Per chi controlla i sistemi in uso, la voce relativa a Oracle Solaris riguarda la versione 11.
| Prodotto | Versioni indicate da Oracle |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Oracle ha aggiunto Oracle Secure Backup nella revisione 2 del 26 ottobre. L’elenco comprende otto famiglie Communications, Oracle Solaris e Secure Backup.
Accesso remoto e valutazione della vulnerabilità
Per CVE-2026-109618, Oracle indica HTTP come protocollo e descrive uno sfruttamento da remoto senza autenticazione. La valutazione base è 9,8 secondo CVSS 3.1 per le voci di prodotto elencate. Questo punteggio è riferito a CVE-2026-109618.
INCIBE-CERT descrive CVE-2026-109618 come un errore nella gestione della memoria che può lasciare non inizializzati i dati di una richiesta e consentire l’esecuzione remota di codice. Per CVE-2026-109619, l’ente segnala che PHP può mantenere riferimenti globali a memoria già liberata, riutilizzabili da richieste successive. INCIBE-CERT ha assegnato all’allerta INCIBE-2026-790 il livello di importanza 5, «Critico».
Nel bollettino pubblicato il 26 ottobre 2026, il campo di INCIBE-CERT sugli exploit conosciuti riportava «No». L’ente avverte che questo valore può cambiare.
Patch e versioni fuori supporto
Oracle afferma che la patch per CVE-2026-109618 corregge anche CVE-2026-109619. La società pubblica patch tramite il programma Security Alert per le versioni coperte da Premier Support o Extended Support. Per le versioni precedenti, Oracle dice che non sono state testate per queste vulnerabilità, ma che probabilmente sono interessate; raccomanda di passare a versioni supportate.
Per individuare disponibilità e istruzioni di installazione della patch relative al proprio prodotto, Oracle rimanda alla documentazione specifica nell’avviso di sicurezza ufficiale.
