Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos actualizaciones de avisos de seguridad

Índice

  • [Actualización 06/11/2026] Múltiples vulnerabilidades en productos de Festo
  • [Actualización 06/11/2026] Múltiples vulnerabilidades en productos de Siemens

[Actualización 06/11/2026] Múltiples vulnerabilidades en productos de Festo

Fecha03/11/2026
Importancia5 - Crítica
Recursos Afectados
  • MES4: todas las versiones desplegadas con xampp.
Descripción

Festo ha publicado un aviso sobre 2 vulnerabilidades de severidad crítica de PHP, integrado en FactoryViews y en instalaciones de MES4 con xampp, que podrían permitir ejecutar código remoto en el sistema anfitrión.

Solución

Actualizar FactoryViews a 1.13.0. 

Para MES4 con xampp no hay corrección disponible; aplicar las medidas del fabricante:

  • Para CVE-2026-109618, establecer memory_limit=-1 en php.ini.
  • Para CVE-2026-109619, establecer session.upload_progress.enabled=0 en php.ini y añadir MaxConnectionsPerChild 1 al final de httpd-xampp.conf. Esta última medida perjudica significativamente el rendimiento.
  • Restringir mediante el cortafuegos de Windows las comunicaciones con httpd.exe a los paneles HMI de las estaciones manuales autorizadas.
Detalle
  • CVE-2026-109618: el tratamiento de errores por agotamiento de memoria puede dejar datos sin inicializar y desembocar en ejecución remota de código.
  • CVE-2026-109619: la conservación de referencias globales a memoria liberada puede provocar ejecución remota de código al atender nuevas peticiones.

[Actualización 06/11/2026] Múltiples vulnerabilidades en productos de Siemens

Fecha03/11/2026
Importancia5 - Crítica
Recursos Afectados

Brotli — CVE-2026-111497

  • Industrial Edge: todas las versiones de Cloud Connector Configurator, Common Configurator (CC on IEM), Common Configurator on Device (CC on Edge), Data Flow Monitoring, Databus Configurator, Edge OPC UA Server Configurator y Flow Creator Configurator.
  • RUGGEDCOM APE1808 con una versión vulnerable de PAN-OS.

PHP — CVE-2026-109618 y CVE-2026-109619

  • AMIS TS; blueplanet 360 NX3 M6 WM OD IISX y su variante - S; Energy Engage V2.0SP9 y V3.1SP1: todas las versiones.
  • Spectrum Power 3 con IHM (NagiosXI) en RHEL 7: únicamente CVE-2026-109619.
  • Spectrum Power 4 con Nagios, Zabbix, Web Office Portal V3.0/V3.1/V3.2 o HISViews V1.0.
  • Spectrum Power 7 con IHM (NagiosXI).
  • Spectrum Power TG sobre Windows con WebConsole o WebQuery.
Descripción

Siemens ha publicado 3 boletines sobre el impacto de 3 vulnerabilidades de severidad crítica en PHP y Brotli que podrían permitir ejecutar código remoto. En Brotli también podrían producirse divulgación de información o denegación de servicio.

Solución
  • Industrial Edge Management con aplicaciones de gestión afectadas: desinstalar todas las aplicaciones de gestión y proteger IEM con cortafuegos o WAF. Detener CC on Edge y Data Flow Monitoring cuando estén instalados. No hay parches disponibles para estas aplicaciones.
  • IEM sin aplicaciones de gestión e IEDK: no requieren actuación. Industrial Edge Hub e Industrial Edge Management Cloud han sido corregidos centralmente y no requieren intervención del cliente.
  • RUGGEDCOM APE1808: actualizar PAN-OS según el boletín de Palo Alto Networks y consultar al soporte de Siemens.
  • Energy Engage V3.1SP1: PHP V8.1.34 release 6.
  • Spectrum Power 3 y 7: aplicar los parches PHP de Red Hat para RHEL 7 y RHEL 8/9, respectivamente.
  • Spectrum Power TG: PHP V8.5.12.

AMIS TS, blueplanet y Spectrum Power 4 no disponen todavía de corrección. No está prevista para Energy Engage V2.0SP9. Aplicar las restricciones de acceso de las recomendaciones de seguridad industrial.

Detalle
  • CVE-2026-111497: una escritura fuera de límites al descomprimir datos Brotli manipulados puede corromper memoria, revelar información, interrumpir el servicio o permitir ejecutar código.
  • CVE-2026-109618: un fallo en la gestión del agotamiento de memoria de PHP puede permitir ejecución remota de código.
  • CVE-2026-109619: referencias globales a memoria liberada pueden permitir ejecución remota de código en peticiones posteriores.