Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos nuevas actualizaciones de avisos SCI

Índice

  • [Actualización 09/11/2026] Múltiples vulnerabilidades en productos de Schneider Electric
  • [Actualización 09/11/2026] Múltiples vulnerabilidades en productos de Siemens

[Actualización 09/11/2026] Múltiples vulnerabilidades en productos de Schneider Electric

Fecha29/10/2026
Importancia5 - Crítica
Recursos Afectados
  • EcoStruxure Control Engineering, todas las versiones.
  • EcoStruxure Foxboro DCS H90 Server en HPE ProLiant DL380 GEN9 con Windows Server OS 2016.
  • EcoStruxure Security Expert Web Client, versiones anteriores a 1.48.4.0.
  • ProLeiT LINEoptimize, anteriormente Plant iT LMS, todas las versiones.
Descripción

Schneider Electric ha publicado un boletín sobre dos vulnerabilidades de severidad crítica de PHP, conocidas como PHP2Shell, que afectan a varios de sus productos. Un atacante remoto sin autenticar podría ejecutar código arbitrario en los sistemas afectados.

Solución
  • EcoStruxure Control Engineering: la máquina virtual se actualiza automáticamente si puede acceder a los repositorios debian.org y sury.org. Si carece de acceso, solicitar el parche a esxcontrolengineering.support@se.com.
  • EcoStruxure Foxboro DCS H90 Server: bloquear en el cortafuegos los puertos 2301/TCP y 2381/TCP de HPE System Management Homepage.
  • EcoStruxure Security Expert Web Client: solicitar al servicio de atención al cliente la versión 1.48.4.0 e instalarla.
  • ProLeiT LINEoptimize: solicitar la corrección a helpdesk@proleit.com.

Aislar los sistemas de Internet mediante cortafuegos.

Detalle
  • CVE-2026-109618: la gestión incorrecta de errores por falta de memoria deja datos internos sin inicializar. Su uso durante la limpieza de solicitudes puede provocar corrupción de memoria y ejecución remota de código.
  • CVE-2026-109619: determinadas referencias globales permanecen tras liberar la memoria de una solicitud. Otra solicitud procesada por el mismo trabajador puede utilizar esa memoria liberada y permitir ejecución remota de código.

[Actualización 09/11/2026] Múltiples vulnerabilidades en productos de Siemens

Fecha03/11/2026
Importancia5 - Crítica
Recursos Afectados

Brotli — CVE-2026-111497

  • RUGGEDCOM APE1808 con una versión vulnerable de PAN-OS.

PHP — CVE-2026-109618 y CVE-2026-109619

  • AMIS TS, blueplanet 360 NX3 M6 WM OD IISX y su variante - S, Energy Engage V2.0SP9 y V3.1SP1, todas las versiones.
  • Spectrum Power 3 con IHM (NagiosXI) en RHEL 7, afectado por CVE-2026-109619.
  • Spectrum Power 4 con Nagios, Zabbix, Web Office Portal V3.0, V3.1 o V3.2, o HISViews V1.0.
  • Spectrum Power 7 con IHM (NagiosXI).
  • Spectrum Power TG sobre Windows con WebConsole o WebQuery.
  • Local Monitoring bt-monitoring-vm, versiones anteriores a V20261103.
  • RUGGEDCOM APE1808 con una versión vulnerable de PAN-OS.
Descripción

Siemens ha publicado 4 boletines sobre el impacto de 3 vulnerabilidades de severidad crítica en PHP y Brotli que podrían permitir ejecutar código remoto. En Brotli también podrían producirse divulgación de información o denegación de servicio.

Solución

IEM sin aplicaciones de gestión e IEDK no requieren intervención. Siemens ya ha corregido Industrial Edge Hub e Industrial Edge Management Cloud de forma centralizada.

  • RUGGEDCOM APE1808: actualizar PAN-OS según el boletín de Palo Alto Networks y consultar al soporte de Siemens.
  • Energy Engage V3.1SP1: actualizar PHP a V8.1.34 release 6.
  • Spectrum Power 3 y 7: aplicar los parches de PHP de Red Hat para RHEL 7 y RHEL 8/9, respectivamente.
  • Spectrum Power TG: actualizar PHP a V8.5.12.
  • Local Monitoring bt-monitoring-vm: actualizar a V20261103 o posterior según las instrucciones de Siemens.

Para AMIS TS, blueplanet y Spectrum Power 4, que todavía carecen de corrección, y Energy Engage V2.0SP9, para el que no está prevista, aplicar las restricciones de acceso de las recomendaciones de seguridad industrial de Siemens.

Detalle
  • CVE-2026-111497: el decodificador Brotli puede escribir fuera de los límites de un búfer al procesar datos comprimidos manipulados. Esto podría corromper la memoria, revelar información, interrumpir el servicio o permitir la ejecución de código.
  • CVE-2026-109618: al gestionar errores por agotamiento de memoria, PHP puede dejar datos de una petición sin inicializar. Su uso posterior podría permitir la ejecución remota de código.
  • CVE-2026-109619: PHP puede conservar referencias a memoria liberada y utilizarlas al procesar otra petición, lo que podría permitir la ejecución remota de código.