Credenciales fijas en el kernel, llaves criptográficas en el código fuente y un SCADA sin autenticación: semana de vulnerabilidades fundamentales
Hitachi Energy enfrenta vulnerabilidades críticas de hasta CVSS 9.9, mySCADA expone funciones administrativas sin autenticación y algunos módulos Modicon M340 continúan sin parche. Esta edición de Perímetro resume los riesgos OT/ICS más relevantes de la semana y las acciones que conviene tomar de inmediato.
Editorial
Cinco avisos con puntaje CVSS igual o superior a 9.8 en una sola semana. Esto no solo es ruido: es una señal. El hallazgo más preocupante no viene de los fabricantes habituales viene de la plataforma de control de compensadores de potencia y condensadores síncronos de Hitachi Energy, con un CVE que llega a 9.9 y sin parche disponible aún. Al mismo tiempo, el Modicon M340 acumula su cuarto aviso de revisión sin remediación publicada para todos los módulos afectados. Si tienes alguno de estos equipos en tu inventario, esta edición es para ti.
Vulnerabilidades de la semana
[CRÍTICO] Cinco fallas encadenadas en Hitachi Energy FACTS Control Platform: la más severa alcanza CVSS 9.9
El aviso ICSA-26-260-03 documenta cinco vulnerabilidades en el componente GWS del FACTS Control Platform (FCP), utilizado para controlar sistemas de compensación de potencia reactiva como compensadores estáticos de VAR (SVC), condensadores síncronos híbridos y capacitores en serie. Las instalaciones sin componente GWS no están afectadas.
Las dos vulnerabilidades más graves operan de forma remota sin requerir privilegios elevados. La primera (CVE-2024-4872, CVSS 9.9) permite inyección de código en datos persistentes a través de consultas manipuladas. La segunda (CVE-2024-3980, CVSS 9.9) habilita la traversal de rutas para leer o modificar archivos críticos del sistema. Ambas requieren únicamente credenciales válidas, el umbral de entrada es muy bajo para sistemas de esta criticidad.
Las versiones afectadas van de la 3.4.0 a la 4.1.1 en instalaciones desplegadas desde 2020. Hitachi Energy no tiene parche disponible al momento de este aviso. En nuestra experiencia en campo, este tipo de plataformas de control de FACTS aparece con frecuencia en instalaciones de transmisión eléctrica en México, particularmente en proyectos desarrollados a partir de 2018.
(CVE-2024-4872, CVE-2024-3980, CVE-2024-3982, CVE-2024-7940, CVE-2024-7941)
Acción sugerida: Verificar inmediatamente si el componente GWS está presente en las instalaciones de FCP. Implementar las mitigaciones generales de Hitachi Energy: aislamiento físico de los sistemas, restricción de acceso a red mediante firewall con política de denegación por defecto, y bloqueo de acceso SSH y de gestión web a hosts no autorizados. Contactar al soporte de Hitachi Energy para obtener la hoja de ruta de remediación.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[CRÍTICO] mySCADA myPRO Manager ≤2.1: acceso administrativo sin autenticación desde la red
El aviso ICSA-26-258-03 reporta dos vulnerabilidades en myPRO Manager de mySCADA Technologies, una plataforma SCADA orientada a manufactura, energía, agua y transporte. La primera (CVE-2026-73807, CVSS 9.8) expone la API de comandos sin ningún mecanismo de autenticación. Cualquier atacante con acceso de red puede invocar funciones administrativas privilegiadas directamente. La segunda (CVE-2026-82567) expone un endpoint HTTP sin autenticación para enviar mensajes SMS a través del módem GSM conectado, un vector que puede parecer menor pero que revela ausencia sistemática de controles de acceso en la plataforma.
El patrón aquí es importante: no se trata de una falla puntual, sino de controles de acceso que simplemente no existen en funciones críticas. En nuestra experiencia en campo, myPRO Manager aparece en instalaciones medianas de manufactura discreta en México donde el integrador original configuró acceso remoto directo sin capa de autenticación perimetral adicional.
La versión 2.2 corrige ambas vulnerabilidades y está disponible en el sitio del fabricante.
(CVE-2026-73807, CVE-2026-82567)
Acción sugerida: Actualizar a myPRO Manager versión 2.2. Si la actualización no puede aplicarse de inmediato, bloquear el acceso a la API de comandos y al endpoint de notificaciones SMS mediante firewall de perímetro OT, y asegurarse de que el sistema no sea accesible desde redes no confiables ni desde Internet.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] Schneider Electric Modicon M340: denegación de servicio vía FTP, cuarta revisión del aviso y módulos aún sin parche
El aviso ICSA-26-260-04 (originalmente publicado en agosto de 2025 y actualizado por cuarta vez el 17 de septiembre de 2026) documenta una vulnerabilidad de validación de entrada en el protocolo FTP del Modicon M340 y sus módulos de comunicación. Un comando FTP especialmente construido puede provocar la caída del dispositivo sin requerir autenticación previa (CVE-2025-6625, CVSS 7.5). El impacto directo es la pérdida de disponibilidad del controlador o del módulo de red afectado, en un entorno productivo, eso puede significar parada de línea.
Lo que eleva la urgencia de este aviso no es el CVSS: es el historial. Cuatro revisiones en más de un año indican que la cadena de remediación es larga y desigual. Los módulos BMXNOE0100 y BMXNOE0110 ya tienen parche. El controlador M340 (SV3.70) también. Pero los módulos BMXNOR0200H, BMXNGD0100 y BMXNOC0401 aún están en proceso. En nuestra experiencia en campo, el Modicon M340 es uno de los PLCs con mayor presencia en instalaciones industriales mexicanas, especialmente en manufactura automotriz y en plantas de agua y aguas residuales.
Si el servicio FTP no está en uso, y en la mayoría de instalaciones OT no debería estarlo, la mitigación más efectiva disponible hoy es deshabilitarlo y bloquear el puerto 21 en el firewall de red OT.
(CVE-2025-6625)
Acción sugerida: (1) Verificar la versión del firmware instalado en cada módulo afectado. (2) Si hay parche disponible para ese modelo, planificar actualización. (3) Para módulos sin parche disponible, deshabilitar el servicio FTP si no está en uso operativo y bloquear puerto 21/TCP mediante segmentación de red o ACL en el firewall OT.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
[ALTO] Mitsubishi Electric GX Works3: contraseña de bloque inválida abre acceso completo a programas de control
El aviso ICSA-26-260-02, confirmado también por INCIBE (INCIBE-2026-646), reporta una falla en la implementación del algoritmo de autenticación del software de ingeniería GX Works3 y su complemento Motion Control Settings. Un atacante local puede modificar el módulo ejecutable en memoria durante la ejecución del software y autenticarse exitosamente con una contraseña de bloque incorrecta (CVE-2026-15688, CVSS 8.8 en v3.1 / 9.2 en CVSSv4). El resultado: acceso completo para ver, modificar, destruir o eliminar programas de control.
El vector es local, lo que reduce la superficie de ataque remoto. Sin embargo, en instalaciones donde el software de ingeniería corre en estaciones compartidas o en equipos con acceso remoto habilitado, la exposición aumenta considerablemente. La falla afecta todas las versiones de GX Works3. Mitsubishi Electric recomienda actualizar a la versión 1.096A o posterior y configurar la versión de seguridad del proyecto en “2”.
Que el mismo aviso aparezca tanto en CISA como en INCIBE en la misma semana es señal de que el fabricante lo considera relevante a nivel global.
(CVE-2026-15688)
Acción sugerida: Actualizar GX Works3 a la versión 1.096A o posterior y Motion Control Settings a la versión 1.070Y o posterior. Habilitar la versión de seguridad “2” en todos los proyectos. Restringir el acceso físico y de red a las estaciones donde corre el software de ingeniería. Si se utiliza acceso remoto, limitar a usuarios y hosts explícitamente autorizados mediante VPN y listas de control de acceso.
Toda actualización debe validarse previamente con el fabricante, probarse en un entorno controlado y ejecutarse conforme al proceso de gestión de cambios y ventanas de mantenimiento de la organización.
En breve
- Siemens Reyrolle 7SR5 (< V2.70): catorce vulnerabilidades en el relevador de protección de energía, incluyendo evasión de autenticación (CVE-2026-62645, CVSS 9.8) por identificadores de sesión predecibles y descarga de código sin verificación de integridad. La actualización a V2.70 está disponible. (ICSA-26-258-05)
- Lenze VPN Client (< 1.4.7) + gateway x500: inyección CRLF crítica (CVE-2026-75925) que permite ejecutar comandos con privilegios de root o SYSTEM. La configuración maliciosa persiste tras reinicios. Actualizar a 1.4.7; el entorno cloud de Lenze ya bloquea versiones anteriores. (INCIBE-2026-653)
- ABB dynovaPRO™ cloud: evasión de autenticación en el flujo de restablecimiento de contraseñas vía Keycloak (CVE-2026-18963, CRÍTICO). ABB indica que el sistema cloud ya fue corregido desde el 27/09/2026. Si usa esta plataforma, verificar que sus cuentas de usuario no hayan sido comprometidas. (INCIBE-2026-645)
- Pepperl+Fuchs ICE2/ICE3 y fabricantes que comparten la misma base de firmware (Carlo Gavazzi, Phoenix Contact): veinte vulnerabilidades compartidas, dos críticas (CVE-2026-27546 evasión de autenticación; CVE-2026-27565 inyección de comandos vía archivo IODD malicioso). El script instalado persiste tras reinicio. Actualizar firmware a 1.7.8. (INCIBE-2026-637, INCIBE-2026-638, INCIBE-2026-639)
- Wärtsilä FOS-Onboard: llaves criptográficas fijas en el código fuente en dos componentes del sistema de gestión de motores a bordo (CVE-2026-78225, CVE-2026-81855, ambos CRÍTICOS). Reportado simultáneamente por CISA (ICSA-26-258-02) e INCIBE (INCIBE-2026-633). Wärtsilä indica que el producto instalado conforme a sus guías no es explotable, pero el parche debe solicitarse directamente al fabricante.
Para cerrar
Semana densa. Lo que más preocupa no es el número de avisos, es el patrón. Credenciales y llaves criptográficas fijas en el código fuente, endpoints sin autenticación expuestos a la red, identificadores de sesión predecibles: estas no son fallas en la implementación. Son errores de diseño básico que llevan años en los equipos y que solo salen a la luz cuando alguien los busca activamente.
El mensaje práctico para esta semana es uno solo: revise su inventario contra la lista de productos de este número. Si tiene Modicon M340, GX Works3, FCP de Hitachi, o myPRO Manager, necesitas un plan de acción esta semana, no en el próximo ciclo de parches.
¿Alguno de estos productos está en su entorno y le genera preguntas? Responda directamente a este correo o suscríbete a nuestro newsletter semanal
El análisis y priorización expresados en Perímetro son responsabilidad editorial de Roberto Manzo. Esta publicación no sustituye la asesoría técnica específica para su organización.