Grave Falla de Autenticación en Welker OdorEyes EcoSystem Expone Sistemas Industriales

Grave Vulnerabilidad de Omisión de Autenticación en Welker OdorEyes EcoSystem (CVE-2026-23456)

Madrid, España – 20 de febrero de 2026 – INCIBE-CERT ha revelado una severa vulnerabilidad de autenticación en el sistema OdorEyes EcoSystem de Welker, una plataforma industrial de monitoreo de olores ampliamente desplegada. Registrada como CVE-2026-23456, esta falla permite a atacantes no autenticados acceder a funciones críticas del sistema, lo que podría comprometer operaciones industriales.

Detalles Técnicos

La vulnerabilidad surge debido a un mecanismo de autenticación ausente en el punto final de la API del OdorEyes EcoSystem (/api/critical-function). Los atacantes pueden explotar esta falla de forma remota sin necesidad de autenticación previa, lo que les otorga acceso no autorizado a:

• Datos en tiempo real de sensores
• Configuraciones del sistema
• Controles administrativos

Puntuación CVSS: 9.8 (Crítica) | Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

El problema afecta a todas las versiones de OdorEyes EcoSystem anteriores a la v3.2.4. Welker ha confirmado la vulnerabilidad y lanzado un parche en coordinación con INCIBE-CERT.

Análisis de Impacto

La falla representa amenazas de alto riesgo para entornos industriales, incluyendo:

• Interrupción operativa: Cambios no autorizados en umbrales de sensores o configuraciones del sistema podrían desencadenar falsas alarmas o desactivar el monitoreo crítico.
• Riesgos a la integridad de datos: Los atacantes podrían manipular o exfiltrar datos industriales sensibles, incluyendo métricas propietarias de análisis de olores.
• Movimiento lateral: Los sistemas comprometidos podrían servir como puntos de entrada para una infiltración más amplia en la red, especialmente en escenarios de convergencia OT/IT.

Recomendaciones

INCIBE-CERT insta a las organizaciones que utilizan OdorEyes EcoSystem a:

1. Aplicar el parche de inmediato: Actualizar a la versión v3.2.4 o posterior a través del portal oficial de Welker.
2. Aislar los sistemas vulnerables: Restringir el acceso a la red del OdorEyes EcoSystem hasta que se aplique el parche, especialmente desde redes no confiables.
3. Monitorear la explotación: Revisar registros en busca de actividad inusual en la API, como solicitudes no autorizadas al punto final /api/critical-function.
4. Segmentar redes: Implementar una segmentación estricta entre redes OT/IT para limitar el posible movimiento lateral.

Para más detalles, consulte el aviso de INCIBE-CERT.

Welker no ha reportado ninguna explotación activa de CVE-2026-23456 al momento de la divulgación.