El historian como puerta de entrada: credenciales fijas en el openHistorian de la red eléctrica
La edición del 13 de octubre analiza un problema recurrente en las redes industriales: componentes heredados, implementaciones experimentales y equipos de infraestructura que permanecen activos sin suficiente visibilidad. Los principales casos incluyen ejecución remota de código y credenciales fijas en openPDC/openHistorian, seis vulnerabilidades en RTU500 con firmware fuera de soporte, fallas…
Editorial
Esta semana se generarón más de veinte avisos en cinco días. Tres merecen atención inmediata. El primero: openPDC y openHistorian con credenciales fijas y ejecución remota de código sin autenticación, CVSS 9.8. El segundo: Hitachi RTU500 con firmware CMU 11.x o anterior, una línea fuera de soporte que conserva vulnerabilidades conocidas desde 2010. El tercero: una implementación de referencia de Murrelektronik que expone datos industriales sin autenticación y que el propio fabricante ordena retirar. En los tres casos, la primera pregunta es de inventario: ¿sabe usted si alguno de estos componentes sigue activo en su red?
Vulnerabilidades de la semana
[CRÍTICO] Ejecución de código remota y credenciales fijas en openPDC y openHistorian
El aviso de CISA sobre Grid Protection Alliance openPDC y openHistorian agrupa seis vulnerabilidades, dos de ellas con CVSS 9.8. La más grave (CVE-2026-100730) afecta a la consola de servicio: deserializa una estructura de datos enviada por el cliente. En instalaciones sin Windows Authentication, cualquier atacante en la red puede alcanzar esta función sin credenciales y ejecutar código bajo el contexto de la cuenta de servicio. La segunda crítica (CVE-2026-105278) aplica únicamente a la imagen Docker publicada: incluye credenciales administrativas fijas en el código fuente, sin forzar cambio en el primer inicio de sesión. El fabricante ha declarado que no publicará corrección para la imagen Docker y que no recomienda usarla en producción. Esto es relevante para entornos OT que adoptaron contenedores como vía rápida de despliegue. Completan el cuadro: una interfaz interna del publicador de datos sin autenticación que expone la topología completa de dispositivos y mediciones (CVE-2026-105281), un publicador STTP también sin autenticación en su configuración por omisión (CVE-2026-85479), y una función Modbus que permite a un usuario autenticado realizar SSRF para mapear redes internas alcanzables (CVE-2026-101022). Finalmente, CVE-2026-104629 permite a un usuario con acceso al sistema de archivos del host cargar código arbitrario mediante el mecanismo de carga de componentes. El openHistorian se utiliza en entornos de medición de redes eléctricas; en nuestra experiencia, este tipo de plataformas de datos de proceso aparece con frecuencia como componente de integración en instalaciones de generación y transmisión en México y LATAM.
Acción sugerida: Actualizar openPDC a la versión 2.9.482 o posterior y openHistorian a la versión 2.8.585 o posterior. Para instalaciones actualizadas desde versiones previas, verificar explícitamente la configuración de enlace de las interfaces del publicador interno y del publicador STTP: la corrección del fabricante solo aplica el nuevo valor por omisión en instalaciones nuevas. Las instalaciones existentes conservan su configuración anterior y no recibirán el cambio automáticamente. Retirar de producción toda imagen Docker de openPDC; el fabricante no publicará corrección para ese vector. Restringir mediante firewall la función Modbus y permitir conexiones salientes únicamente hacia los equipos y puertos que la operación haya autorizado.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[CRÍTICO] Hitachi RTU500 firmware 11.x y anteriores: múltiples fallos críticos sin soporte disponible
Dragos reportó a CISA seis vulnerabilidades en el firmware CMU del RTU500, versiones 11.x y anteriores, una línea declarada fuera de soporte. El hallazgo más grave es la combinación de dos vectores: CVE-2026-8065 permite cargar firmware arbitrario vía POST sin autenticación (CVSS 9.1), y CVE-2026-8066 permite sobrescribir archivos en el sistema de archivos mediante recorrido de rutas relativas, también sin autenticación (CVSS 9.1). Juntos, habilitan la modificación persistente del dispositivo desde red. CVE-2026-8067 permite a un usuario autenticado provocar el reinicio del RTU mediante el endpoint de restablecimiento. A esto se suma CVE-2010-2965, una vulnerabilidad del servicio de depuración WDB de VxWorks que expone el puerto UDP 17185 y permite leer o modificar memoria y ejecutar funciones de forma arbitraria. CVE-2014-9195 añade ausencia de autenticación en un servicio de red que admite ejecución de comandos mediante tráfico válido del protocolo, y CVE-2023-46143 permite descargar código sin verificar su integridad. Las versiones 11.x no recibirán una corrección dentro de esa misma rama: Hitachi Energy recomienda migrar a 12.7.8, 13.9.1 o una versión posterior. El aviso fue publicado por CISA como ICSA-26-279-06. En nuestra experiencia, el RTU500 aparece con frecuencia en instalaciones del sector energético mexicano, incluyendo equipos heredados que no siempre están documentados en el inventario activo.
Acción sugerida: Priorizar el inventario de todos los RTU500 en campo e identificar sus versiones de firmware CMU. Cualquier equipo con firmware 11.x o anterior debe considerarse fuera de soporte y protegerse mediante aislamiento de red, monitoreo del segmento OT y bloqueo del puerto UDP 17185 desde cualquier origen que no lo requiera. Planificar la migración a 12.7.8, 13.9.1 o una versión posterior compatible con la instalación.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] Red Lion Controls N-Tron 700 Series: siete vulnerabilidades en switches industriales con credenciales de fábrica persistentes
CISA publicó siete vulnerabilidades para los switches industriales N-Tron 700 Series de Red Lion Controls. En conjunto, permiten recuperar credenciales, modificar configuraciones, cargar firmware o provocar reinicios, según el vector y el nivel de acceso disponible. CVE-2026-39460 expone usuarios y contraseñas almacenados en el archivo de configuración, que puede recuperarse mediante la interacción entre SNMP y TFTP (CVSS v4.0: 9.3). CVE-2026-33367 permite ejecutar acciones administrativas mediante SNMP, como recuperar la configuración, modificar cuentas o iniciar actualizaciones. CVE-2026-32645 documenta que las credenciales de fábrica permanecen habilitadas después de crear otras cuentas administrativas, mientras que CVE-2026-29797 permite transferir firmware sin una verificación adecuada. CVE-2026-39453 permite a un usuario autenticado provocar el reinicio repetido del switch mediante una URL específica. La corrección disponible es actualizar al firmware 3.11.1 o posterior; el fabricante también recomienda configurar o deshabilitar las comunidades SNMP y deshabilitar el acceso a la interfaz web. En nuestra experiencia, los switches N-Tron aparecen con frecuencia en redes industriales de manufactura y proceso con infraestructura heredada.
Acción sugerida: Actualizar el firmware a la versión 3.11.1 o posterior y revisar también los equipos con bootloader 2.0.6.1 o anterior. Mientras se ejecuta la actualización, restringir o deshabilitar las comunidades SNMP, deshabilitar la interfaz web si no es necesaria y permitir la administración únicamente desde estaciones y segmentos autorizados.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[CRÍTICO] Murrelektronik AAS Edge Client: una implementación de referencia expuesta sin autenticación
El aas-edge-client de Murrelektronik es una implementación de referencia de Asset Administration Shell creada para un demostrador del banco de pruebas LNI 4.0. Su API REST escucha en todas las interfaces de red por el puerto TCP 18000, no exige autenticación y acepta solicitudes desde cualquier origen. CVE-2026-94293 permite a un atacante remoto leer todos los datos expuestos por los endpoints GET y modificar los submodelos AAS mediante solicitudes PATCH. Los cambios quedan almacenados localmente y se reenvían al servidor AAS central, por lo que otros sistemas pueden consumir información industrial manipulada. El fabricante aclara que el componente nunca fue diseñado para producción, afecta a todas las versiones y ya no recibe mantenimiento.
Acción sugerida: Buscar despliegues, copias del código fuente e imágenes de contenedor del aas-edge-client. Murrelektronik no publicará una corrección y recomienda descontinuar su uso y retirar todas las instancias. Mientras se completa la eliminación, bloquear el puerto TCP 18000 desde cualquier segmento no autorizado y monitorear solicitudes GET y PATCH hacia el componente.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
En breve
- lwIP SMTP Client (Savannah) - desbordamiento de pila crítico (CVSS 9.8): un servidor SMTP malicioso puede sobrescribir el búfer de transmisión y ejecutar código remoto en el dispositivo integrado. La corrección está disponible como el parche `patch_125_smtp_txbuf.diff`, incorporado en el commit 614420f82c8729d070e01464c0dddb3c9525c772; los fabricantes que integran el componente deben actualizarlo y recompilar su firmware o aplicación. (CVE-2026-15340 / ICSA-26-279-02 / INCIBE-2026-709)
- Johnson Controls EasyIO FG - credenciales fijas y gestión inadecuada de privilegios: el producto está fuera de soporte y no recibirá corrección. La acción recomendada es migrar a EasyIO Neo R1 Series y mantener aislamiento estricto durante la sustitución. (CVE-2026-27872, CVE-2026-27873 / ICSA-26-279-01 / INCIBE-2026-708)
- Hitachi Energy SOI - inyección de código mediante Apache ActiveMQ (CVSS 8.8): un usuario autenticado puede cargar un contexto Spring XML remoto a través de Jolokia JMX-HTTP y ejecutar código con los privilegios del servicio. Aplicar SOI EP2, que actualiza ActiveMQ a la versión 5.19.5 y sustituye componentes asociados. (CVE-2026-34197 / ICSA-26-279-04 / INCIBE-2026-710)
- Johnson Controls ADVMS - clave criptográfica fija en el código fuente: un atacante local con privilegios reducidos puede analizar el ejecutable y extraer información confidencial utilizada por la aplicación. Actualizar a la versión 3.10 o posterior. (CVE-2026-34499 / INCIBE-2026-722)
Para cerrar
La edición de esta semana no habla solamente de parches. Habla de componentes que permanecen en operación después de que terminó su soporte, imágenes de contenedor que nunca debieron utilizarse en producción y equipos de red cuya administración quedó expuesta más allá de lo necesario. La acción prioritaria es confirmar existencia, versión y propietario técnico. Busque openPDC y openHistorian, identifique RTU500 con firmware CMU 11.x o anterior, revise switches N-Tron 700 y descarte cualquier despliegue del aas-edge-client. Cuando con el inventario que tenemos no podemos responder estas preguntas, la vulnerabilidad más urgente sigue siendo la falta de visibilidad.
El análisis y priorización expresados en Perímetro son responsabilidad editorial de Roberto Manzo. Esta publicación no sustituye la asesoría técnica específica para su organización.