De una sesión Vision al control del Gateway: el fallo de Ignition que debes revisar
Gateway industrial conectado a varias sesiones digitales que ascienden de azul a naranja en una planta nocturna, simbolizando una escalada de privilegios.
Editorial
Dos hallazgos dominan esta semana. El primero afecta a Ignition de Inductive Automation: una sesión válida de un proyecto Vision puede utilizarse para obtener privilegios Designer y ejecutar código en el proceso del Gateway. El segundo es de escala: el boletín mensual de Siemens reúne 746 CVE, 40 de ellos críticos, en una cartera extensa de productos industriales. Un hallazgo exige revisar permisos y confianza entre módulos; el otro obliga a cruzar el aviso con el inventario real de activos. Si su planta utiliza Ignition o equipos SIMATIC incluidos en los avisos de octubre, la validación de versiones debe comenzar ahora.
Vulnerabilidades de la semana
[ALTO] Una sesión Vision puede escalar a privilegios Designer en Ignition
El módulo Perspective de Ignition (Inductive Automation) no valida correctamente los privilegios de sesión al resolver el acceso de nivel Designer. Un usuario autenticado con acceso a un proyecto Vision puede presentar su identificador de sesión válido y obtener privilegios de Designer. Con esos privilegios, puede ejecutar código arbitrario en el contexto del proceso del Gateway. El hallazgo es relevante para entornos industriales porque el Gateway de Ignition suele tener conectividad directa con PLC y equipos de campo. En nuestra experiencia, Ignition aparece con frecuencia en instalaciones industriales mexicanas de manufactura discreta y procesos continuos, especialmente como capa de supervisión sobre redes OT. El vector es de red y requiere privilegios bajos. CVSS 3.1: 8.8 (ALTO). (CVE-2026-92817)
Acción sugerida: Actualizar a Ignition 8.3.9 o 8.1.55, según la rama en uso. Revisar qué usuarios pueden iniciar sesiones Vision, validar la asignación de roles y evitar que el Gateway tenga acceso a segmentos OT distintos de los estrictamente necesarios.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] WAGO PFC100/PFC200 y Edge Controller: inyección de comandos y cambios no autorizados en PROFIBUS desde la WBM
Dos vulnerabilidades en la interfaz Web-Based Management (WBM) de dispositivos WAGO CC100, PFC100 G2, PFC200 G2, TP600, Edge Controller y WP400 afectan a firmware anterior a la versión 4.10.0. La primera (CVE-2026-80466, CVSS 8.8) permite a un usuario remoto de bajo privilegio inyectar comandos de shell en los parámetros de configuración de enrutamiento. Los valores se almacenan en un archivo de configuración y son procesados posteriormente por un script auxiliar con privilegios de root, lo que convierte un acceso de operador en ejecución de comandos como root. La segunda (CVE-2026-88850, CVSS 8.1) permite al mismo perfil de usuario modificar parámetros protegidos de PROFIBUS, incluidos el direccionamiento del dispositivo y la configuración SSA, sin la autorización requerida. La combinación de ambas en un entorno con PROFIBUS activo representa un riesgo operativo directo. En nuestra experiencia, los PLC y controladores WAGO PFC aparecen con frecuencia en instalaciones industriales mexicanas de manufactura y energía, particularmente en celdas de automatización con conectividad Ethernet-PROFIBUS. (CVE-2026-80466, CVE-2026-88850)
Acción sugerida: Actualizar el firmware de los dispositivos WAGO afectados a la versión 4.10.0 (FW32) o posterior. Mientras se ejecuta la actualización, restringir el acceso a la WBM a segmentos y estaciones de ingeniería autorizados. Revisar además que los perfiles de operador no puedan acceder a la interfaz de gestión desde la red OT general.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] MicroSCADA X SYS600: escalada local y acceso indebido a objetos de aplicación
Hitachi Energy reportó tres vulnerabilidades en MicroSCADA X SYS600. CVE-2026-9854 permite a un usuario con acceso a las herramientas de ingeniería elevar sus privilegios al nivel de administrador del host Windows; afecta a las versiones 10.0 a 10.7. CVE-2026-9853 permite que cualquier usuario autenticado en el sistema operativo del servidor lea o modifique objetos de aplicación de SYS600 sin autenticarse en el SCADA; esta vulnerabilidad también afecta a la versión 10.8. CVE-2026-9852 es una inyección de fórmulas en archivos CSV exportados que puede modificar o exfiltrar datos y, según la configuración del equipo del usuario, ejecutar código; afecta a las versiones 10.0 a 10.7. Las dos primeras tienen CVSS 3.1 de 7.8. El reporte fue coordinado por el programa CyTRICS de Sandia National Laboratories. En nuestra experiencia, MicroSCADA aparece con frecuencia en instalaciones mexicanas de generación, transmisión y distribución eléctrica. (CVE-2026-9852, CVE-2026-9853, CVE-2026-9854)
Acción sugerida: Para instalaciones 10.0 a 10.7, actualizar a MicroSCADA X SYS600 10.8. Esta actualización corrige CVE-2026-9852 y CVE-2026-9854, pero la versión 10.8 continúa afectada por CVE-2026-9853. Para ese vector, aplicar la estrategia de mitigación indicada por Hitachi Energy en la sección 2.1.7.5 del manual de instalación. Revisar los permisos de las cuentas del sistema operativo, limitar el acceso a las herramientas de ingeniería y restringir el inicio de sesión en el servidor que aloja SYS600.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] Moxa AIG-302 ThingsPro Edge: clave criptográfica fija en un binario del sistema
El gateway industrial Moxa AIG-302 ThingsPro Edge, en versiones 1.0.0 a 1.4.0, contiene una clave criptográfica privada fija en el binario `/usr/bin/sysman` (CVE-2026-109813, CVSS 4.0: 8.6). Un atacante no autenticado con acceso a la red adyacente puede extraer ese material criptográfico y utilizarlo para comprometer información protegida por el dispositivo. La segunda vulnerabilidad (CVE-2026-109812, CVSS 4.0: 6.9) permite a un usuario autenticado con pocos privilegios acceder a información sensible mediante la API `/api/v1/secrets/` por una verificación de autorización insuficiente. Ambos vectores requieren acceso a una red adyacente, por lo que la segmentación reduce de manera directa la superficie de ataque mientras se aplica la corrección. En nuestra experiencia de campo, los gateways Moxa AIG aparecen con frecuencia como punto de integración entre redes OT y plataformas en la nube o sistemas MES. (CVE-2026-109812, CVE-2026-109813)
Acción sugerida: Actualizar ThingsPro Edge en el AIG-302 a la versión 1.4.1 mediante la consola web, en `Maintenance > Software Upgrades`. Después de actualizar, rotar las credenciales, certificados y claves que hayan estado almacenados o gestionados por el dispositivo durante el periodo de exposición. Limitar el acceso de red al gateway a los sistemas estrictamente necesarios.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
En breve
- Siemens publica su boletín mensual de octubre con 746 CVE, 40 de ellos críticos. Los componentes GNU/Linux de SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP y S7-1500 TM MFP concentran una parte importante del volumen. Por separado, el servidor web de la familia S7-1500 presenta tres vulnerabilidades críticas asociadas con la importación de archivos de trazas manipulados (CVE-2026-63350, CVE-2026-63353 y CVE-2026-63354). Un atacante debe convencer a un usuario autorizado para que importe el archivo; la explotación puede ejecutar JavaScript en su sesión y realizar operaciones sobre el PLC dentro de los permisos de esa cuenta. Siemens no ofrece todavía una corrección para varios de los productos afectados y recomienda aplicar las mitigaciones del aviso SSA-591731. (Boletines publicados el 13/10/2026)
- Schneider Electric SAGE RTU 1410–4400 tiene una vulnerabilidad de verificación insuficiente de la autenticidad del firmware (CVE-2026-102250, ALTO). Un administrador con credenciales válidas puede cargar firmware modificado durante una actualización y alterar el comportamiento del equipo. Actualizar a C3414-500-S02L0. (INCIBE-2026-729)
- Rockwell Automation 1732E ArmorBlock I/O presenta dos vulnerabilidades de severidad alta: una elusión de autenticación por repetición de comunicaciones capturadas (CVE-2026-12655) y una condición de denegación de servicio por tormenta de tráfico (CVE-2026-12656). La primera permite modificar la contraseña del servidor web sin credenciales válidas; la segunda puede interrumpir las comunicaciones y exigir un ciclo de energía para recuperar el equipo. Actualizar el firmware a la versión 3.013. (INCIBE-2026-734)
- Eclipse Milo (OPC UA) presenta varias vulnerabilidades en versiones hasta 1.1.4. La más grave (CVE-2026-60007, CVSS 4.0: 9.1) permite a un atacante en posición de red recuperar contraseñas mediante un oráculo de relleno sobre tokens cifrados con Basic128Rsa15. Si su organización utiliza implementaciones OPC UA basadas en Milo, migrar a la versión 1.1.5. Las ramas 0.6.x no recibirán corrección. (ICSA-26-288-01, INCIBE-2026-750)
- Hitachi Energy RTU500 acumula nueve CVE en firmware de la serie CMU. El más severo (CVE-2026-6653, CVSS 8.8) es un use-after-free en libxml2 que puede permitir ejecución remota de código con privilegios bajos. La familia RTU500 se utiliza extensamente en telecontrol de subestaciones. Actualizar a la versión de firmware 13.9.1 o posterior compatible con el equipo. (ICSA-26-293-05)
Para cerrar
La prioridad de esta semana no se determina solo por el número de CVE. Ignition muestra cómo una sesión válida puede convertirse en control del Gateway; WAGO y MicroSCADA muestran el impacto de permisos mal delimitados dentro de herramientas de administración e ingeniería; Moxa recuerda que los secretos incrustados en un dispositivo deben considerarse comprometidos hasta que se actualicen y roten.
La acción inmediata es cruzar producto, versión y ruta de acceso. Identifique los Gateway de Ignition, revise quién puede iniciar sesiones Vision, localice controladores WAGO con WBM accesible, confirme la versión de cada servidor SYS600 y busque gateways AIG-302. Después priorice según la conectividad real del activo y su capacidad para modificar el proceso.
El análisis y la priorización expresados en Perímetro son responsabilidad editorial de Roberto Manzo. Este boletín no sustituye la asesoría técnica específica para su organización.