Múltiples vulnerabilidades en productos de Schneider Electric

Fecha de publicación 14/07/2026

Identificador

INCIBE-2026-485

Importancia

4 - Alta

Recursos Afectados

IGSS Definition (Def.exe) versiones 18.0.0.26124 y anteriores;
EcoStruxure™ Cybersecurity Admin Expert (CAE) versiones 4.2.0 y anteriores.

Descripción

Michael Heinz y Ruben Santamarta han reportado 2 vulnerabilidades de severidad alta en productos de Schneider Electric que, en caso de ser explotadas, podrían permitir a un atacante provocar la ejecución arbitraria de código, eludir mecanismos de autenticación, escalar privilegios y acceder de forma no autorizada a credenciales y dispositivos gestionados.

Solución

El fabricante ha publicado actualizaciones de seguridad que corrigen las vulnerabilidades:

Actualizar IGSS Definition (Def.exe) a la versión 18.0.0.26125 o posterior;
Actualizar EcoStruxure™ Cybersecurity Admin Expert (CAE) a la versión 4.2.1 o posterior (requiere reiniciar el equipo anfitrión tras la instalación).

Detalle

CVE-2026-12927: vulnerabilidad de escritura fuera de límites (Out-of-Bounds Write) en el módulo IGSS Definition (Def.exe). Un atacante podría explotar esta vulnerabilidad mediante la importación de un archivo CGF especialmente manipulado, provocando la corrupción de memoria o la ejecución arbitraria de código. La explotación de esta vulnerabilidad puede ocasionar la pérdida de datos y comprometer el control del sistema afectado.
CVE-2026-14354: vulnerabilidad de protección insuficiente de credenciales (Insufficiently Protected Credentials) en EcoStruxure™ Cybersecurity Admin Expert (CAE). Un atacante con privilegios locales elevados podría aprovechar deficiencias en la gestión de las credenciales almacenadas para eludir mecanismos de autenticación, modificar credenciales y escalar privilegios, obteniendo acceso no autorizado a cuentas de la aplicación y comprometiendo potencialmente los dispositivos administrados.

CVE