Múltiples vulnerabilidades en productos de Codesys

Fecha de publicación 25/03/2026

Identificador

INCIBE-2026-222

Importancia

5 - Crítica

Recursos Afectados

Los siguientes productos en sus versiones anteriores a la 3.5.22.0:
- CODESYS Control RTE (SL);
- CODESYS Control RTE (for Beckhoff CX) SL;
- CODESYS Control Win (SL);
- CODESYS HMI (SL);
- CODESYS Runtime Toolkit.
Los siguientes productos en sus versiones anteriores a la 4.21.0.0:
- CODESYS Control for BeagleBone SL;
- CODESYS Control for emPC-A/iMX6 SL;
- CODESYS Control for IOT2000 SL;
- CODESYS Control for Linux ARM SL;
- CODESYS Control for Linux SL;
- CODESYS Control for PFC100 SL;
- CODESYS Control for PFC200 SL;
- CODESYS Control for PLCnext SL;
- CODESYS Control for Raspberry Pi SL;
- CODESYS Control for WAGO Touch Panels 600 SL;
- CODESYS Virtual Control SL.

Descripción

CODESYS en coordinación con CERT@VDE han publicado 2 vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían provocar la caída del dispositivo y la instalación de aplicaciones arbitrarias de arranque para controlar el código que se ejecuta en el controlador.

Solución

Actualizar los siguientes productos a la versión 3.5.22.0:
- CODESYS Control RTE (SL);
- CODESYS Control RTE (for Beckhoff CX) SL;
- CODESYS Control Win (SL);
- CODESYS HMI (SL);
- CODESYS Runtime Toolkit;
Actualizar los siguientes productos a la versión 4.21.0.0. prevista para el segundo cuatrimestre del 2026:
- CODESYS Control for BeagleBone SL;
- CODESYS Control for emPC-A/iMX6 SL;
- CODESYS Control for IOT2000 SL;
- CODESYS Control for Linux ARM SL;
- CODESYS Control for Linux SL;
- CODESYS Control for PFC100 SL;
- CODESYS Control for PFC200 SL;
- CODESYS Control for PLCnext SL;
- CODESYS Control for Raspberry Pi SL;
- CODESYS Control for WAGO Touch Panels 600 SL;
- CODESYS Virtual Control SL.

Detalle

CVE-2025-41660: un atacante en remoto con pocos privilegios puede reemplazar la aplicación de arranque del sistema CODESYS Control runtime, lo que deriva en la ejecución de código no autorizado. Para ello es suficiente con que el atacante forme parte del grupo "Service", sin necesidad de pertenecer a un grupo con mayores privilegios como "Administrador" o "Desarrollador".
CVE-2025-3509: un atacante en remoto no autenticado puede controlar el formato de las cadenas de los mensajes procesados por el log Audit del sistema CODESYS Control runtime, esto puede derivar potencialmente en una condición de denegación de servicio.

CVE