A revisão 2 do aviso de segurança da Oracle incluiu o Oracle Secure Backup nas versões 19.1.0.0.0–19.1.0.1.0, ampliando a lista de produtos citados no alerta PHP2Shell. Datada de 26 de outubro de 2026, a lista também abrange oito famílias Oracle Communications e o Oracle Solaris 11.
O alerta INCIBE-2026-790, publicado pelo INCIBE-CERT na mesma data, trata de CVE-2026-109618 e CVE-2026-109619 e recebeu nível de importância 5, “Crítico”.
Produtos e versões listados pela Oracle
A revisão 2 do aviso da Oracle lista dez entradas de produtos e versões afetadas:
| Produto | Versões listadas |
| Oracle Communications Diameter Signaling Router | 8.6.0, 9.0.0 |
| Oracle Communications EAGLE Application Processor | 17.0, 17.1 |
| Oracle Communications EAGLE Element Management System | 47.0 |
| Oracle Communications EAGLE LNP Application Processor | 11.1 |
| Oracle Communications LSMS | 14.0 |
| Oracle Communications Performance Intelligence Center (PIC) Software | 10.4, 10.5 |
| Oracle Communications Unified Assurance | 6.1.1–7.0.0 |
| Oracle Communications User Data Repository | 15.0 |
| Oracle Solaris | 11 |
| Oracle Secure Backup | 19.1.0.0.0–19.1.0.1.0 |
Acesso e gravidade das vulnerabilidades
Para CVE-2026-109618, a Oracle informa que a exploração pode ocorrer remotamente por HTTP, sem autenticação, e atribui à falha pontuação base CVSS 3.1 de 9,8 nas matrizes dos produtos listados. CVSS é um sistema de pontuação da gravidade de vulnerabilidades.
O INCIBE-CERT descreve CVE-2026-109618 como uma falha no tratamento de erros de falta de memória, que pode deixar dados de uma requisição sem inicialização e permitir execução remota de código. Já CVE-2026-109619 envolve referências globais a memória liberada que o PHP mantém e que requisições posteriores podem usar para executar código arbitrário.
No alerta publicado em 26 de outubro, o INCIBE-CERT marcou como “Não” o campo de exploração conhecida.
O patch e a cobertura de suporte
A Oracle afirma que o patch de CVE-2026-109618 também corrige CVE-2026-109619. O aviso de segurança da Oracle encaminha para documentos de disponibilidade e instalação de patches específicos para cada produto.
O programa Security Alert da Oracle fornece patches apenas para versões cobertas por Premier Support ou Extended Support. A empresa diz que versões anteriores provavelmente também são afetadas, embora não tenham sido testadas para essas vulnerabilidades, e recomenda atualizar para versões com suporte.
