Boletín de seguridad de Siemens de noviembre de 2026

Fecha de publicación 11/11/2026

Identificador

INCIBE-2026-850

Importancia

5 - Crítica

Recursos Afectados

Productos afectados por la vulnerabilidad de Brotli:

SIMATIC BRAUMAT y SIMATIC SISTAR, desde V8.2 Update 1 hasta antes de V8.2 Update 5.
SIMATIC WinCC OA V3.20, versiones anteriores a V3.20 P17.1, y todas las versiones de la rama V3.21.
Todas las versiones de COMOS Walkinside, Project Server Web Administration Tool, SIMATIC Profiling Tool, SIMATIC WinCC Companion, SIMATIC WinCC Runtime Professional, SIMATIC WinCC Unified for Industrial Edge, SIMATIC WinCC Unified PC Runtime, SIMATIC WinCC Unified SIQENCE, SIMATIC WinCC V7/V8, TIA Administrator y User Management Component (UMC).
Todas las versiones de HyperLynx, Innexis Architecture Native Acceleration 2026, Insights Hub, PADS Pro Essentials, PADS Pro Student Edition, PADS Professional, PAVE360 Automotive 2026, Process Preparation X, Simcenter Executable Digital Twin, Simcenter Studio, Xpedition Designer y Xpedition Enterprise.
Todas las versiones de Opcenter Connect Electronics, Connect MOM, Execution Core, Execution Discrete, Execution Foundation, Execution Pharma, Execution Process, Intelligence, Intra Plant Logistics, Quality, RDnL y X.
Todas las versiones de las ramas de Teamcenter V2412, V2506, V2512 y V2606.

Otros productos afectados:

Mendix Studio Pro 11, desde V11.15.0 hasta antes de V11.16.0, y Mendix Studio Pro 11.12, desde V11.12.6 hasta antes de V11.12.7.
SIMATIC BATCH V9.1, Information Server 2020 y 2022, PCS 7 V9.1, Process Historian 2020 y 2022, WinCC V7.5, V8.0 y V8.1, y WinCC Runtime Professional V17 a V21, en todas las versiones de las ramas indicadas.
meta-iot2050, desde V01.03.01.
ROS#, versiones anteriores a V2.3.1.
Simcenter Femap, versiones anteriores a V2606.0002.
RUGGEDCOM APE1808 con FortiGate NGFW anterior a V7.6.9.

Descripción

Siemens ha publicado 9 boletines de seguridad el 10 de noviembre. En conjunto, describen 9 vulnerabilidades distintas, 2 de severidad crítica, 5 altas, 1 media y 1 baja. Los fallos podrían permitir ejecutar código, suplantar usuarios o interrumpir servicios.

Solución

Actualizar a las siguientes versiones o posteriores:

SIMATIC BRAUMAT y SIMATIC SISTAR a V8.2 Update 5.
SIMATIC WinCC OA V3.20 a V3.20 P17.1.
Mendix Studio Pro a V11.16.0 en la rama 11.15 y a V11.12.7 en la rama 11.12.
ROS# a V2.3.1 y Simcenter Femap a V2606.0002.
FortiGate NGFW en RUGGEDCOM APE1808 a V7.6.9, siguiendo el procedimiento de actualización de Siemens.

Para los productos con Brotli pendientes de corrección, aplicar las medidas de SSA-242944 y SSA-678870. Según el producto, Siemens indica deshabilitar Brotli en la aplicación o el proxy, filtrar su uso en el cortafuegos o aplicar instrucciones específicas para IIS, Opcenter y Teamcenter.

Para la autenticación de SIMATIC SCADA y PCS 7, configurar el cifrado de las comunicaciones con SQL Server. En WinCC Graphics Designer, abrir únicamente archivos de origen fiable. Restringir el acceso externo al puerto 7782/TCP de Mendix y consultar el estado de la corrección para meta-iot2050.

Detalle

CVE-2026-111497: el decodificador Brotli puede escribir fuera de los límites de un búfer al procesar datos comprimidos manipulados. Esto podría divulgar información, interrumpir el servicio o permitir la ejecución de código.
CVE-2026-112136: el servidor MCP de Mendix Studio Pro puede escuchar fuera de la interfaz local y quedar accesible a un atacante remoto.
CVE-2026-58114: un atacante situado entre el cliente y el servidor podría retransmitir la autenticación NTLM y suplantar a un usuario de SIMATIC SCADA o PCS 7.
CVE-2026-59082: WinCC Graphics Designer puede ejecutar contenido activo al abrir un archivo manipulado.
CVE-2026-109830: meta-iot2050 ejecuta datos de un archivo de configuración sin validarlos. Un atacante capaz de modificar el archivo podría conseguir que el usuario ejecute comandos.
CVE-2026-109097: ROS# puede incorporar código no autorizado al generar un programa a partir de un archivo de definición de mensajes manipulado.
CVE-2026-64629: una lectura fuera de límites al abrir archivos X_T en Simcenter Femap podría permitir la ejecución de código con los permisos de la aplicación.

CVE