Dos fallas críticas en lwIP exponen un punto ciego del inventario OT
Dos vulnerabilidades en lwIP ponen el foco en las dependencias embebidas que rara vez aparecen en el inventario OT. La edición también revisa fallas críticas en Siemens Industrial Edge Management y Siveillance Control, además de vulnerabilidades relevantes en productos ABB y Lenze.
Editorial
Dos vulnerabilidades en lwIP, una pila TCP/IP utilizada en numerosos sistemas embebidos, concentran la atención esta semana. Una de ellas alcanza un CVSS v3.1 de 9.8 y puede permitir ejecución de código en dispositivos que incorporen el cliente MQTT afectado. El reto operativo es claro: lwIP suele vivir dentro del firmware y rara vez aparece como componente independiente en el inventario OT.
A esto se suman una evasión de autenticación crítica en Siemens Industrial Edge Management, una carga arbitraria de archivos en Siveillance Control y hallazgos relevantes en productos ABB y Lenze. La prioridad de esta edición es identificar qué activos incorporan componentes vulnerables y confirmar con cada fabricante si existe firmware corregido.
Vulnerabilidades de la semana
[CRÍTICO] Ejecución remota de código en el cliente MQTT de lwIP
lwIP es una pila TCP/IP diseñada para sistemas embebidos y utilizada en productos de sectores como energía, manufactura crítica, agua, transporte y comunicaciones. Las versiones 2.0.1 a 2.2.1 de su cliente MQTT contienen una escritura fuera de límites que puede permitir a un atacante remoto, sin credenciales ni interacción del usuario, ejecutar código en el dispositivo. La vulnerabilidad alcanza CVSS v3.1 9.8 y CVSS v4.0 9.3.
El riesgo no depende únicamente de que un equipo “use MQTT”. Es necesario confirmar que el firmware incorpora una versión afectada del cliente MQTT de lwIP y que existe una ruta de ataque hacia ese componente. En campo, esta clase de dependencia puede aparecer en gateways IoT, módulos de comunicación y equipos de automatización sin quedar registrada en el inventario de activos.
(CVE-2026-87121)
Acción sugerida: Solicita a los fabricantes la composición del firmware o su SBOM y confirma si cada modelo incorpora el cliente MQTT de lwIP 2.0.1–2.2.1. Prioriza los activos accesibles desde segmentos no confiables o que se conecten con infraestructura MQTT fuera del perímetro OT. Aplica una versión de firmware validada por el fabricante que incluya la corrección del commit: f89407ea711879c04d91c92b35d67be78bbaf0f1. Si todavía no existe actualización, restringe la conectividad hacia el servicio afectado y documenta una excepción temporal con monitoreo.
Toda actualización debe validarse con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y las ventanas de mantenimiento de la organización.
[CRÍTICO] Siemens IEM permite tomar cuentas mediante el flujo de recuperación de contraseña
Una falla en el flujo de recuperación de credenciales de Keycloak permite a un atacante remoto sin autenticación forzar el restablecimiento de la contraseña de cualquier usuario sin completar la verificación por correo. Esto puede resultar en la toma total de la cuenta. La vulnerabilidad alcanza CVSS v3.1 9.1.
Afecta Industrial Edge Management Cloud en todas sus versiones; IEM Pro V1 desde 1.14.9 y anteriores a 1.15.20; IEM Pro V2 desde 2.2.0 y anteriores a 2.2.2; e IEM Virtual desde 2.6.0 y anteriores a 2.9.1. Siemens mitigó la variante Cloud con reglas de firewall el 26 de agosto y la corrigió el 2 de septiembre de 2026, sin acción requerida por el cliente. Las variantes Pro y Virtual requieren actualización.
(CVE-2026-18963)
Acción sugerida: Verifica la versión instalada y actualiza IEM Pro V1 a 1.15.20 o posterior, IEM Pro V2 a 2.2.2 o posterior e IEM Virtual a 2.9.1 o posterior. Hasta completar la actualización, bloquea el acceso directo desde internet. Como medida temporal, configura un WAF o proxy inverso para bloquear `/auth/realms/customer/login-actions/reset-credentials`, o deshabilita la función de recuperación de contraseña en Keycloak. Considera que ambas medidas dejan inhabilitado el restablecimiento de contraseña.
Toda actualización debe validarse con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y las ventanas de mantenimiento de la organización.
[CRÍTICO] Carga arbitraria de archivos con acceso root en Siemens Siveillance Control
El módulo web OIS de Siveillance Control y Siveillance Control Pro permite que un atacante situado en una red adyacente y con privilegios bajos cargue archivos arbitrarios en el servidor. La explotación puede otorgar acceso root y comprometer por completo el entorno OIS. La vulnerabilidad alcanza CVSS v3.1 9.0 y CVSS v4.0 8.9.
Siveillance Control integra sistemas de seguridad física como control de acceso, detección de intrusiones y videovigilancia. En instalaciones críticas, un compromiso del servidor puede facilitar movimiento lateral hacia otros sistemas conectados.
(CVE-2026-50093)
Acción sugerida: Actualiza Siveillance Control V3.0 a 3.0.22.2177 o posterior y V4.0 a 4.0.11.2177 o posterior. Para Control Pro, actualiza V3.0 a 3.0.12.2173 o posterior y V4.0 a 4.0.9.2178 o posterior. Mientras completas la actualización, limita el acceso al servidor OIS a estaciones administrativas autorizadas y revisa los registros de carga de archivos.
Toda actualización debe validarse con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y las ventanas de mantenimiento de la organización.
[ALTO] Tres vulnerabilidades en productos ABB: RCE, DoS y escalada de privilegios
INCIBE-CERT reporta tres vulnerabilidades de severidad alta en productos ABB utilizados en automatización industrial. CVE-2025-41700 afecta Automation Builder en versiones anteriores a 2.9.1: un archivo de proyecto manipulado puede ejecutar código en el contexto del usuario al ser abierto. CVE-2025-41738 afecta el firmware AC500 V3 anterior a 3.9.1: una solicitud manipulada al servidor web de visualización puede causar una denegación de servicio. CVE-2026-15952 afecta PCM600 2.14 y versiones anteriores: permisos incorrectos en el servicio Scheduler, ejecutado como LocalSystem, permiten a un usuario local con acceso limitado elevar privilegios.
Automation Builder y AC500 V3 están presentes en entornos de manufactura y energía; PCM600 se utiliza ampliamente en ingeniería y mantenimiento de relés de protección. No se había reportado explotación activa de estos tres CVE al cierre editorial.
(CVE-2025-41700, CVE-2025-41738, CVE-2026-15952)
Acción sugerida: Actualiza Automation Builder a 2.9.1 y confirma que el firmware AC500 V3 quedó en 3.9.1. Para PCM600, aplica la mitigación publicada por ABB: configura ABBPCMSchedulerService para ejecutarse con la misma cuenta de Windows utilizada por PCM600 y valida que tenga el permiso Log on as a service. Revisa el aviso del fabricante antes de implementar el cambio.
Toda actualización debe validarse con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y las ventanas de mantenimiento de la organización.
En breve
- lwIP, API principal: una doble liberación de memoria en lwIP 2.0.1–2.2.1 puede causar caída del sistema, corrupción de memoria o ejecución de código. La corrección está incluida en el commit f873b6295933e4149a2132adf3e9a2d2a676a5ec; solicita firmware validado al fabricante del equipo. (CVE-2026-91018 / ICSA-26-265-02)
- Siemens Desigo CC V6 y V7: documentos gráficos especialmente manipulados pueden ejecutar código en los clientes ClickOnce o instalados. No hay corrección para V6 o V7; V8 y V9 no están afectados. Limita los permisos de configuración de la aplicación Graphics siguiendo el principio de mínimo privilegio. (CVE-2026-34223 / ICSA-26-265-05)
- Siemens SIMOVE Fleetmanager y SIPLANT: un recorrido de rutas permite a un atacante remoto sin autenticación leer archivos arbitrarios, incluidos almacenes de credenciales, llaves privadas y secretos de configuración. Actualiza SIMOVE a la versión corregida correspondiente. SIPLANT V1.7, V2.2 y V3.0 requieren contacto con soporte; SIPLANT V3.1 debe actualizarse a 3.1.4 o posterior. (CVE-2026-67367 / ICSA-26-265-07)
- Lenze VPN Client anterior a 1.4.7: una inyección CRLF permite ejecutar comandos como root o SYSTEM. La configuración manipulada persiste después de reiniciar el cliente o el sistema operativo. La explotación requiere interacción del usuario. El entorno cloud de Lenze bloquea conexiones de versiones vulnerables; actualiza a 1.4.7. (CVE-2026-75925 / VDE-2026-089)
- Siemens Mendix Runtime: el aviso fue revocado. Una nueva investigación determinó que el comportamiento reportado corresponde a la configuración esperada de la plataforma y no expone el atributo protegido. CVE-2026-7891 fue rechazado. No se requiere remediación por este CVE; conviene retirar tickets o alertas creados específicamente para él. (ICSA-26-209-02 Update A)
Para cerrar
El dato más importante de esta edición no es únicamente el CVSS 9.8. Es la dificultad para responder una pregunta básica: ¿qué dispositivos de planta incorporan lwIP y en qué versión?
Las dependencias embebidas rara vez aparecen con suficiente detalle en un inventario OT tradicional. Resolver ese punto ciego requiere pedir información al fabricante, conservar SBOM cuando exista y relacionar cada componente con el modelo y la versión exacta del firmware desplegado. Si hoy la respuesta es “tenemos que revisarlo”, este es un buen momento para iniciar ese inventario.
El análisis y priorización expresados en Perímetro son responsabilidad editorial de Roberto Manzo. Esta publicación no sustituye la asesoría técnica específica para su organización.