W rewizji 2 swojego advisory z 26 października 2026 r. Oracle dodał Oracle Secure Backup w wersjach 19.1.0.0.0–19.1.0.1.0 do wykazu produktów objętych alertem PHP2Shell. Zaktualizowana lista obejmuje osiem rodzin Oracle Communications, Oracle Solaris 11 i Oracle Secure Backup. Alert INCIBE-CERT dotyczący tych samych luk ukazał się tego samego dnia.
Produkty i wersje wymienione przez Oracle
Oracle wymienia dziesięć pozycji produktowych wraz z konkretnymi wersjami. Wśród nich znajduje się Oracle Solaris 11, a dodanym w rewizji 2 produktem jest Oracle Secure Backup.
| Produkt | Wersje wymienione przez Oracle |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Jakie warunki dostępu i ocenę podał Oracle?
Dla CVE-2026-109618 Oracle wskazuje zdalne wykonanie kodu przez HTTP bez uwierzytelniania. W macierzach ryzyka dla wymienionych produktów przypisuje tej podatności wynik bazowy CVSS 3.1 równy 9.8. To ocena CVE-2026-109618, nie osobna punktacja dla CVE-2026-109619.
INCIBE-CERT opisuje CVE-2026-109618 jako błąd obsługi sytuacji braku pamięci, który może pozostawić nieustalone dane żądania i umożliwić zdalne wykonanie kodu. W przypadku CVE-2026-109619 opis dotyczy globalnych odwołań PHP do zwolnionej pamięci, które mogą zostać wykorzystane przez kolejne żądania do wykonania kodu.
W alercie INCIBE-CERT INCIBE-2026-790, opublikowanym 26 października 2026 r., obie podatności otrzymały poziom ważności 5, określony jako krytyczny. Pole dotyczące znanej eksploatacji miało wówczas wartość „Nie”; INCIBE-CERT zaznacza, że może się ona zmienić.
Jedna poprawka obejmuje oba CVE
Oracle podaje, że poprawka dla CVE-2026-109618 usuwa również CVE-2026-109619. Dla wymienionych produktów Oracle wskazuje osobne dokumenty dotyczące dostępności i instalacji poprawek. Są one dostępne w advisory bezpieczeństwa Oracle.
Oracle udostępnia poprawki w ramach programu Security Alert dla wersji objętych Premier Support lub Extended Support. Firma zaznacza, że wcześniejsze wersje nie były testowane pod kątem tych podatności, choć prawdopodobnie również są nimi dotknięte, i zaleca aktualizację do wersji objętych wsparciem.
