[Actualización 05/11/2026] Boletín de seguridad de Siemens: agosto de 2026

Fecha de publicación 12/08/2026

Identificador

INCIBE-2026-549

Importancia

5 - Crítica

Recursos Afectados

Siveillance Video V2023 R3;
Siveillance Video V2024 R1;
Siveillance Video V2025;
Desigo DXR y PXC;
LOGO! Soft Comfort;
Solid Edge SE2025 y SE2026;
Simcenter Femap;
Parasolid V38.0 y V38.1;
RUGGEDCOM APE1808;
Siemens License Server (SLS);
Simcenter Nastran.

[Actualización 05/11/2026]

Los siguientes modelos, con Industrial OS anterior a V4.3.4-1 y Node-RED instalado, están afectados por CVE-2026-58115:

SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2).
SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2).
SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2).
SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2).

Descripción

Siemens ha publicado su boletín mensual de seguridad en el que se incluyen 20 vulnerabilidades: 2 de severidad crítica, 15 de severidad alta y 3 de severidad media. Estas vulnerabilidades afectan a varios de sus productos y su explotación podría permitir a un atacante obtener acceso completo a la aplicación, o ejecución de código arbitrario en el sistema.

[Actualización 05/11/2026]

Siemens ha publicado la revisión 1.1 del boletín SSA-834709, de 04/11/2026, que amplía y precisa la afectación de CVE-2026-58115 a los modelos SIMATIC IoT2050 Basic, M.2 y SM, además de Advanced. Estos modelos utilizan la misma corrección publicada el 11/08/2026.

Solución

Actualizar a la última versión disponible indicada por el fabricante.

[Actualización 05/11/2026]

Actualizar los modelos SIMATIC IoT2050 afectados a V4.3.4-1 o posterior, disponible en el portal de soporte de Siemens.

Si no es posible actualizar, desinstalar Node-RED o reforzar la seguridad de su instalación, según las recomendaciones del fabricante.

Detalle

[Actualización 05/11/2026]

CVE-2026-58115: la ausencia de autenticación en la interfaz HTTP de Node-RED permite a un atacante remoto crear flujos maliciosos y ejecutar comandos en el servidor subyacente con privilegios máximos. La afectación comprende los cuatro modelos SIMATIC IoT2050 indicados, con Industrial OS vulnerable y Node-RED instalado.

CVE-2026-3014: Milestone ha lanzado una nueva versión de XProtect® (y varias actualizaciones de parches acumulativas) que corrigen una vulnerabilidad de seguridad en la API del servidor de administración. Esta vulnerabilidad permite que los usuarios con permisos de edición en el servidor de administración puedan ejecutar código arbitrario en el contexto del servicio del servidor de administración.

CVE