Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos nuevos avisos de SCI y una actualización

Índice

  • Múltiples vulnerabilidades en productos de Welotec
  • Múltiples vulnerabilidades en PowerSYSTEM Center de Subnet Solutions
  • [Actualización 04/11/2026]Múltiples vulnerabilidades en APROL de B&R

Múltiples vulnerabilidades en productos de Welotec

Fecha04/11/2026
Importancia4 - Alta
Recursos Afectados
  • TK100, modelos TK102L y TK102W, con firmware anterior a 3.5.116.
  • TK500-v2, modelos TK525L-v2, TK525L-W-v2, TK525W-v2 y TK535L1-v2, con firmware anterior a 1.0.124.
  • TK500-v3, modelos TK525L-v3, TK525L-W-G-v3, TK525L-IO-v3, TK525L-W-v3, TK525W-v3 y TK555L-v3, con firmware anterior a 1.0.123.
Descripción

Welotec en coordinación con CERT@VDE ha publicado 6 vulnerabilidades, 5 de severidad alta y 1 media, en las funciones de administración de sus routers TK. Un atacante remoto con privilegios elevados podría ejecutar comandos como root o provocar una denegación de servicio.

Solución

Actualizar el firmware a las siguientes versiones o posteriores:

  • TK100: 3.5.116.
  • TK500-v2: 1.0.124.
  • TK500-v3: 1.0.123.

Además, restringir la administración a equipos de confianza y deshabilitar las funciones VPN y Digital I/O que no sean necesarias, siguiendo las recomendaciones del fabricante.

Detalle

Las siguientes vulnerabilidades permiten inyectar comandos con privilegios de root debido a una validación insuficiente de las entradas:

  • CVE-2026-105982: afecta a la función VPN IPsec.
  • CVE-2026-105981: afecta a la función Digital I/O.
  • CVE-2026-105980: afecta a la función VPN WireGuard.
  • CVE-2026-105979: afecta a la función VPN ZeroTier.
  • CVE-2026-105978: afecta a las funciones de control de administración.

Múltiples vulnerabilidades en PowerSYSTEM Center de Subnet Solutions

Fecha04/11/2026
Importancia5 - Crítica
Recursos Afectados
  • PowerSYSTEM Center 2020, versiones 5.29.x y anteriores (CVE-2026-63017).
  • PowerSYSTEM Center 2024, versiones 6.0.x a 6.2.x: ambas vulnerabilidades.
  • PowerSYSTEM Center 2026, versiones 7.0.x a 7.1.x: ambas vulnerabilidades.
Descripción

Chinmay Patel, de Digital Boundary Group, ha informado sobre 2 vulnerabilidades de severidad crítica en PowerSYSTEM Center que podrían permitir a un usuario autenticado acceder a recursos restringidos o ejecutar consultas SQL no autorizadas.

Solución
  • PowerSYSTEM Center 2020: instalar Update 30.
  • PowerSYSTEM Center 2024 y 2026: actualizar a PowerSYSTEM Center 2026 Update 1.1.

Si no es posible actualizar, supervisar la actividad de los usuarios y deshabilitar su acceso al diseñador de informes.

Detalle
  • CVE-2026-63017: una autorización incorrecta permite a usuarios autenticados con pocos privilegios acceder a recursos reservados a administradores.
  • CVE-2026-63774: una validación insuficiente de las entradas en el diseñador de informes permite ejecutar comandos SQL no autorizados.

Ambas vulnerabilidades requieren acceso desde una red adyacente.

[Actualización 04/11/2026]Múltiples vulnerabilidades en APROL de B&R

Fecha26/10/2026
Importancia5 - Crítica
Recursos Afectados

APROL de B&R, versiones R 4.4-65 y anteriores.

Descripción

B&R ha publicado un aviso sobre dos vulnerabilidades críticas en el componente PHP de APROL que podrían permitir a un atacante con acceso de red al sistema ejecutar código arbitrario de forma remota.

Solución

B&R prevé publicar parches el 26/10/2026 para R 4.4-65 y el 29/10/2026 para R 4.4-01. El boletín no confirma todavía su disponibilidad ni identifica las versiones corregidas.

Hasta disponer de los parches e instalarlos:

  • Restringir el tráfico HTTP(S) dirigido a APROL, especialmente desde redes no confiables.
  • Limitar el acceso físico y lógico a personal de confianza.
  • Mantener los sistemas de control separados de otras redes y sin conexión directa a Internet.

Consultar el boletín del fabricante e instalar los parches cuando estén disponibles.

Detalle
  • CVE-2026-109618: el tratamiento incorrecto del agotamiento de memoria en PHP puede dejar datos de una petición sin inicializar y permitir la ejecución remota de código durante su procesamiento posterior.
  • CVE-2026-109619: PHP puede conservar referencias globales a memoria liberada. Su utilización en peticiones posteriores podría permitir ejecutar código arbitrario.