Tres nuevos avisos de SCI y una actualización
Índice
- [Actualización 05/11/2026] Boletín de seguridad de Siemens: agosto de 2026
- Escritura fuera de límites en Advanced Batch Management de ABB
- Múltiples vulnerabilidades en productos de Phoenix Contact
- Recuperación insegura de contraseñas en Building Cloud Services de WAGO
[Actualización 05/11/2026] Boletín de seguridad de Siemens: agosto de 2026
- Siveillance Video V2023 R3;
- Siveillance Video V2024 R1;
- Siveillance Video V2025;
- Desigo DXR y PXC;
- LOGO! Soft Comfort;
- Solid Edge SE2025 y SE2026;
- Simcenter Femap;
- Parasolid V38.0 y V38.1;
- RUGGEDCOM APE1808;
- Siemens License Server (SLS);
- Simcenter Nastran.
[Actualización 05/11/2026]
Los siguientes modelos, con Industrial OS anterior a V4.3.4-1 y Node-RED instalado, están afectados por CVE-2026-58115:
- SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2).
- SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2).
- SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2).
- SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2).
Siemens ha publicado su boletín mensual de seguridad en el que se incluyen 20 vulnerabilidades: 2 de severidad crítica, 15 de severidad alta y 3 de severidad media. Estas vulnerabilidades afectan a varios de sus productos y su explotación podría permitir a un atacante obtener acceso completo a la aplicación, o ejecución de código arbitrario en el sistema.
[Actualización 05/11/2026]
Siemens ha publicado la revisión 1.1 del boletín SSA-834709, de 04/11/2026, que amplía y precisa la afectación de CVE-2026-58115 a los modelos SIMATIC IoT2050 Basic, M.2 y SM, además de Advanced. Estos modelos utilizan la misma corrección publicada el 11/08/2026.
Actualizar a la última versión disponible indicada por el fabricante.
[Actualización 05/11/2026]
Actualizar los modelos SIMATIC IoT2050 afectados a V4.3.4-1 o posterior, disponible en el portal de soporte de Siemens.
Si no es posible actualizar, desinstalar Node-RED o reforzar la seguridad de su instalación, según las recomendaciones del fabricante.
[Actualización 05/11/2026]
CVE-2026-58115: la ausencia de autenticación en la interfaz HTTP de Node-RED permite a un atacante remoto crear flujos maliciosos y ejecutar comandos en el servidor subyacente con privilegios máximos. La afectación comprende los cuatro modelos SIMATIC IoT2050 indicados, con Industrial OS vulnerable y Node-RED instalado.
CVE-2026-3014: Milestone ha lanzado una nueva versión de XProtect® (y varias actualizaciones de parches acumulativas) que corrigen una vulnerabilidad de seguridad en la API del servidor de administración. Esta vulnerabilidad permite que los usuarios con permisos de edición en el servidor de administración puedan ejecutar código arbitrario en el contexto del servicio del servidor de administración.
Escritura fuera de límites en Advanced Batch Management de ABB
Advanced Batch Management (ABM), versiones 1.0, 1.1, 1.1b, 1.2 y 1.2.1, cuando incorporen una versión vulnerable de Node.js. La versión instalada puede variar entre proyectos.
ABB ha publicado una vulnerabilidad de severidad crítica en el decodificador Brotli de Node.js utilizado por Advanced Batch Management. Su explotación podría permitir interrumpir el servicio, divulgar memoria del proceso o ejecutar código arbitrario.
En la configuración estándar revisada, ABB no ha identificado una vía predeterminada para alcanzar el decodificador vulnerable; los nodos y flujos personalizados requieren una revisión específica.
Actualizar manualmente Node.js siguiendo el boletín de ABB:
- ABM 1.2 y 1.2.1 con Node.js 24.x: instalar Node.js 24.22.1 o posterior de esa rama.
- ABM 1.0, 1.1 y 1.1b con Node.js 20.x y Node-RED 4: migrar a Node.js 24.22.1 o posterior y comprobar la compatibilidad de nodos y flujos.
- Si se utiliza Node-RED 3: actualizar primero a Node-RED 4 o posterior y validar ambos cambios antes de aplicarlos en producción.
Mientras no sea posible actualizar, deshabilitar la descompresión automática de respuestas Brotli en las llamadas HTTP personalizadas o rechazar respuestas con Content-Encoding: br. Si ABM utiliza componentes .NET, instalar también sus correcciones.
CVE-2026-111497: un valor de retorno no comprobado en el decodificador Brotli permite continuar acumulando datos en un búfer interno tras un cambio de bloque no válido. Esto puede provocar una escritura fuera de límites, corrupción de memoria, divulgación de información, denegación de servicio o ejecución de código.
Múltiples vulnerabilidades en productos de Phoenix Contact
- FL WLAN 1x2x/23xx.
- FL SWITCH 2xxx.
- FL NAT 2xxx.
- FL SWITCH TSN 23xx.
- FL SWITCH 59xx.
- TC ROUTER 4xxx.
- FL TIMESERVER NTP.
- FL WLAN 11xx/21xx.
- TC EXTENDER x00x.
- SCX xPOE.
Phoenix Contact ha publicado información sobre el impacto de 2 vulnerabilidades de severidad crítica de PHP, conocidas como PHP2Shell, en varias familias de productos. En determinadas condiciones, un atacante sin autenticar podría ejecutar código en los dispositivos afectados.
Restringir el acceso de red a las conexiones necesarias para el funcionamiento de los equipos, impedir su exposición directa a redes públicas o no confiables y aplicar segmentación, cortafuegos y restricciones de acceso.
El comunicado de Phoenix Contact prevé las siguientes correcciones, todavía futuras a fecha de este aviso:
- 18/11/2026: FL WLAN 1x2x/23xx, versión 26.10.
- 18/11/2026: FL SWITCH 2xxx, FL NAT 2xxx, FL SWITCH TSN 23xx y FL SWITCH 59xx, versión 3.60.
- 02/12/2026: TC ROUTER 4xxx, versión 5.0.72.105.
- 02/12/2026: FL TIMESERVER NTP, versión 5.0.71.105.
Para FL WLAN 11xx/21xx, TC EXTENDER x00x y SCX xPOE no hay una corrección planificada. Mantener las medidas de protección indicadas por el fabricante y revisar sus comunicaciones.
- CVE-2026-109618: una gestión incorrecta de errores por agotamiento de memoria puede dejar datos de una petición sin inicializar. Su uso posterior durante la limpieza de la petición podría permitir ejecutar código remoto.
- CVE-2026-109619: determinados estados globales pueden conservar referencias a memoria de peticiones ya liberada. Su reutilización en peticiones posteriores podría permitir ejecutar código remoto.
Recuperación insegura de contraseñas en Building Cloud Services de WAGO
Building Cloud Services, versiones desde 7.19 y anteriores a 7.36.156.
James Paremain ha informado sobre una vulnerabilidad de severidad crítica en Keycloak que afecta a Building Cloud Services de WAGO. WAGO, en coordinación con CERT@VDE, ha publicado su afectación. Un atacante sin autenticar podría restablecer contraseñas sin completar la verificación del correo electrónico y tomar el control de cuentas de usuario.
WAGO aplicó la corrección el 26/08/2026 en la versión 7.36.156. El servicio se gestiona y actualiza de forma centralizada, por lo que los clientes no necesitan instalar ninguna actualización.
Revisar la actividad de las cuentas y comprobar si hubo cambios de contraseña inesperados anteriores a la corrección, siguiendo las recomendaciones de WAGO.
CVE-2026-18963: un mecanismo débil de recuperación de contraseñas en el flujo de restablecimiento de credenciales de keycloak-services permite omitir el enlace de verificación enviado por correo electrónico y establecer nuevas credenciales para otra cuenta. El atacante podría acceder a los recursos con los permisos del usuario afectado.