Resumen
Los productos y servicios de ZAPP no se ven afectados por las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619. No se requiere ninguna acción en las instancias de Ecaldima, tanto si están alojadas por ZAPP como si están instaladas en las instalaciones de nuestros clientes.
| Elemento | Información |
|---|---|
| Referencia | ZAPP-SA-2026-001 |
| Gravedad de las vulnerabilidades | Crítica (CVSS 9,2), explotadas activamente |
| Estado de los productos de ZAPP | No afectados |
| Acción requerida | Ninguna en los productos y servicios de ZAPP |
| Destinatarios | Partners y clientes de ZAPP |
Las vulnerabilidades
El 21 de octubre de 2026, los mantenedores de PHP publicaron correcciones para dos vulnerabilidades críticas del motor de PHP, conocidas como «PHP2Shell». Permiten ejecutar código de forma remota sin autenticación, con los privilegios del servidor web.
| Vulnerabilidad | Gravedad | Corrección |
|---|---|---|
| CVE-2026-109618 | Crítica, CVSS 9,2 | PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 |
| CVE-2026-109619 | Crítica, CVSS 9,2 | PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 |
| CVE-2026-115560 | Considerada poco probable por PHP | Aún no publicada a 27 de octubre de 2026 |
El 26 de octubre de 2026, la agencia estadounidense CISA añadió las dos primeras vulnerabilidades a su catálogo de vulnerabilidades explotadas activamente. Según los especialistas, solo la actualización de PHP protege: las soluciones alternativas de configuración que circulan no son suficientes.
Alcance evaluado
Ningún producto de Ecaldima utiliza PHP. Los sitios web de ZAPP, que sí lo utilizan, se han actualizado.
| Producto o servicio | Tecnología | Base de datos | Estado |
|---|---|---|---|
| Ecaldima V3 | ASP.NET MVC 4 | Microsoft SQL Server | No afectado |
| Ecaldima V4 | .NET 9 (ASP.NET Core) | PostgreSQL | No afectado |
| Portal MyZapp | .NET 9 (ASP.NET Core) | PostgreSQL | No afectado |
| Alojamiento SaaS de Ecaldima (servidores de aplicaciones, punto de entrada de las instancias, herramientas de explotación) | Sin PHP | — | No afectado |
| Sitios web de ZAPP | PHP | — | Corregido: PHP actualizado el 22 de octubre de 2026 |
Fuera del alcance de ZAPP
Este aviso se refiere únicamente a los productos y servicios indicados arriba. Los sistemas, servidores y aplicaciones que nuestros partners o clientes explotan fuera de los productos y servicios de ZAPP son responsabilidad de quien los explota. Le corresponde evaluar su exposición y aplicar las correcciones de sus fabricantes.
El reparto de responsabilidades entre ZAPP y sus partners o clientes sigue siendo el previsto en los contratos vigentes. Este aviso no lo modifica.
Seguimiento y contacto
ZAPP sigue vigilando estas vulnerabilidades, en particular CVE-2026-115560. Si alguna de ellas afectara a un producto o servicio de ZAPP, publicaríamos sin demora una nueva versión de este aviso.
Para cualquier pregunta, abra una solicitud en el portal MyZapp: https://myzapp.zappsl.com.
| Versión | Fecha | Modificación |
|---|---|---|
| 1.0 | 27 de octubre de 2026 | Primera publicación |
Fuentes
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching
- Rapid7 — CVE-2026-109618 and CVE-2026-109619
- Datadog Security Labs — PHP2Shell
- The Hacker News — CVE-2026-115560
ZAPP SL — NIF B86408291 — Calle Asturias, 4, 28850 Torrejón de Ardoz (Madrid), España — contact@zappsl.com — Aviso de seguridad ZAPP-SA-2026-001, versión 1.0 del 27 de octubre de 2026