Patch Tuesday ICS: 17 avisos de Siemens y parche ArmorBlock

Siemens, Schneider Electric y Rockwell Automation han publicado su última tanda de avisos de seguridad para sistemas de control industrial (ICS). Siemens es la que más ha publicado, con 17 avisos nuevos. El único aviso de Rockwell trata un fallo crítico que puede permitir hacerse con la cuenta de administrador en sus dispositivos 1732E ArmorBlock.

Las publicaciones coinciden con el Patch Tuesday de octubre de 2026 de Microsoft. Varios fabricantes industriales aprovechan este ciclo mensual para publicar sus propias correcciones.

Siemens: cientos de fallos en las CPU Simatic

Hay parches disponibles para algunas de las vulnerabilidades de los avisos de Siemens. Para el resto, la compañía ha compartido medidas de mitigación que los clientes pueden aplicar hasta que estén listas las correcciones definitivas.

Los problemas de gravedad crítica afectan a determinadas CPU Simatic S7-1500, a dispositivos Industrial Edge y al Ruggedcom Crossbow Station Access Controller (SAC). El aviso de las CPU Simatic es el más extenso. Abarca más de 400 vulnerabilidades en el subsistema GNU/Linux de los procesadores afectados.

Se han corregido fallos de gravedad alta en una larga lista de productos:

Ruggedcom Crossbow y Ruggedcom APE1808
Simatic IPC y Simatic WinCC
PSS(R)SINCAL
la biblioteca cliente .NET para la API del Simatic S7 Webserver
Industrial Edge App Publisher
Apogee, Desigo y Talon

Sentron 3NA COM Fuse y Capital Embedded AR Classic han recibido parches para problemas de gravedad media. Siemens también ha informado a sus clientes de una ambigüedad en la documentación que afecta a los PLC (controladores lógicos programables) Simatic S7 y productos relacionados.

Schneider Electric y Rockwell Automation

Schneider Electric ha publicado dos avisos, y cada uno describe una vulnerabilidad de gravedad alta.

El primero afecta a Pro-face STW6000 y Harmony STW6. Un atacante podría tomar el control de un dispositivo si consigue que el usuario objetivo visite una página web maliciosa. El segundo afecta a las RTU (unidades terminales remotas) Sage. Un usuario con privilegios podría aprovecharlo para instalar firmware malicioso.

El aviso de Rockwell Automation trata dos vulnerabilidades en 1732E ArmorBlock. La crítica permite a un atacante cambiar la contraseña del servidor web del dispositivo sin autenticarse previamente, lo que puede acabar en la toma de control de la cuenta de administrador. El segundo fallo puede utilizarse para provocar una denegación de servicio (DoS).

CISA, CERT@VDE y otros fabricantes

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) publicó el martes dos nuevos avisos ICS. Uno describe vulnerabilidades en las cámaras Swann SWIFI-SE2KIC que exponen información de vídeo. El otro trata un problema de escalada de privilegios en Ignition, un producto de Inductive Automation.

CERT@VDE, un CERT alemán centrado en la automatización industrial, ha publicado un aviso. Describe una vulnerabilidad de divulgación de información en la plataforma Customer&Partner de Bender.

Otros fabricantes han publicado avisos entre el Patch Tuesday del mes pasado y el de este mes:

Moxa: dos vulnerabilidades graves en pasarelas de protocolo
Honeywell: Pro-Watch
Hitachi Energy: Asset Suite, RTU500 y MicroSCADA
Johnson Controls: ADVMS, Illustra Standard y EasyIO
ABB: Automation Builder, Mint Workbench, AC500, Protection and Control IED Manager, Freelance y dynovaPRO

El fallo de dynovaPRO podría permitir hacerse con cuentas mediante una forma de eludir el proceso de restablecimiento de credenciales. ABB afirma que no tiene constancia de que se esté explotando de forma activa, pero sí ha detectado actividad sospechosa en sus propios registros.

"El análisis interno de los registros identificó 26 eventos de cambio de contraseña que afectaron a 9 clientes, lo que podría indicar actividad de prueba o de reconocimiento", señaló la compañía.

Las organizaciones que operan equipos industriales deberían seguir de cerca a CISA y CERT@VDE, que publican avisos ICS con regularidad.

Nuestro análisis

Hay dos fallos de esta tanda que merece la pena destacar: el problema de la contraseña de Rockwell ArmorBlock y la elusión del restablecimiento de ABB dynovaPRO. Ambos son debilidades de autenticación que podrían poner una cuenta de administrador en manos de un atacante. Lo que ABB ha encontrado en sus registros apunta a que alguien podría haber estado tanteando ya esa vía de elusión, aunque no se ha confirmado ningún ataque.

Los más de 400 fallos en el subsistema GNU/Linux de Simatic señalan un problema distinto. El hardware industrial incorpora cada vez más sistemas operativos de uso general, y con ellos arrastra todo su historial de vulnerabilidades pendientes. Los operadores de plantas suelen tardar en aplicar parches, y algunas correcciones de Siemens aún no han llegado, así que las mitigaciones publicadas serán importantes mientras tanto.

La presión sobre la política de seguridad OT también va en aumento. Recientemente se ha instado a CISA a emitir una directiva vinculante de seguridad OT, y los equipos heredados siguen limitando la visibilidad en muchas redes industriales. Conviene estar atentos a posibles informes de explotación de los fallos de dynovaPRO y ArmorBlock, y a cuándo publica Siemens las correcciones que le faltan.