Op 26 oktober 2026 voegde Oracle in revisie 2 van zijn PHP2Shell-advisory Oracle Secure Backup 19.1.0.0.0–19.1.0.1.0 toe. De herziene lijst noemt ook acht Oracle Communications-productfamilies en Oracle Solaris 11, samen tien productvermeldingen. Diezelfde dag publiceerde INCIBE-CERT alert INCIBE-2026-790 over de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619.
Welke Oracle-producten en versies staan op de lijst?
Oracle vermeldt de volgende producten en versies als getroffen:
| Oracle-product | Door Oracle genoemde versies |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Voor beheerders van Solaris staat dus versie 11 op de lijst. De advisory noemt specifieke producten en versies; de vermelding betekent niet dat alle Oracle-producten of alle Solaris-releases getroffen zijn.
Wat zegt Oracle over toegang en ernst?
Oracle beschrijft CVE-2026-109618 als op afstand misbruikbaar via HTTP, zonder authenticatie. Voor die kwetsbaarheid geeft Oracle de getroffen productvermeldingen een score van 9.8 op CVSS 3.1. CVSS is een standaard om de ernst van beveiligingslekken te beoordelen.
INCIBE-CERT omschrijft CVE-2026-109618 als een fout in de afhandeling van een geheugentekort, waardoor verzoekgegevens niet geïnitialiseerd kunnen blijven en uitvoering van code op afstand mogelijk wordt. Bij CVE-2026-109619 kan PHP volgens de melding globale verwijzingen naar vrijgegeven geheugen behouden, waarna latere verzoeken die kunnen gebruiken om willekeurige code uit te voeren. INCIBE-CERT kende zijn alert belangniveau 5, ‘Kritiek’, toe. Bij publicatie op 26 oktober stond bekende exploitatie voor beide CVE’s op ‘Nee’.
Eén patch behandelt beide CVE’s
Oracle zegt dat de patch voor CVE-2026-109618 ook CVE-2026-109619 aanpakt. De score 9.8 is Oracle’s score voor CVE-2026-109618; Oracle geeft die hier niet als afzonderlijke score voor CVE-2026-109619. In Oracle’s beveiligingsadvies staan verwijzingen naar productgerichte informatie over patchbeschikbaarheid en installatie.
Oracle levert patches via zijn Security Alert-programma alleen voor versies die onder Premier Support of Extended Support vallen. Oracle zegt dat eerdere versies niet op deze kwetsbaarheden zijn getest, maar waarschijnlijk ook getroffen zijn, en raadt een upgrade naar ondersteunde versies aan.
