Vulnerabilidades Críticas en Delta Electronics DIAView Exponen Sistemas Industriales a Ataques

Fallos Críticos en Delta Electronics DIAView Exigen Parcheo Inmediato

Madrid, España – 19 de enero de 2026 – El Instituto Nacional de Ciberseguridad de España (INCIBE-CERT) ha emitido una alerta urgente sobre múltiples vulnerabilidades de severidad alta en el software Delta Electronics DIAView, una solución ampliamente utilizada en automatización industrial. Estos fallos, de ser explotados, podrían permitir a actores maliciosos ejecutar código remoto, escalar privilegios o acceder a datos sensibles en entornos de infraestructuras críticas.

Detalles Técnicos de las Vulnerabilidades

Las vulnerabilidades afectan a versiones de DIAView anteriores a la 1.2.1.0, con los siguientes problemas críticos identificados:

• CVE-2023-5932: Validación Incorrecta de Entradas (CVSS 9.8) – Permite a atacantes remotos ejecutar código arbitrario mediante paquetes de red manipulados.
• CVE-2023-5933: Recorrido de Ruta (Path Traversal) (CVSS 8.6) – Facilita el acceso no autorizado a archivos y la potencial exfiltración de datos.
• CVE-2023-5934: Deserialización Insegura (CVSS 8.1) – Podría derivar en ejecución remota de código (RCE) o condiciones de denegación de servicio (DoS).
• CVE-2023-5935: Credenciales Codificadas (CVSS 7.5) – Expone credenciales predeterminadas, otorgando acceso no autorizado al sistema.

Estos fallos tienen su origen en la insuficiente sanitización de entradas, controles de acceso inadecuados y prácticas de codificación inseguras en el software DIAView, comúnmente desplegado en instalaciones de manufactura, energía y tratamiento de aguas.

Análisis de Impacto

La explotación exitosa de estas vulnerabilidades podría resultar en:

• Ejecución remota de código (RCE) en sistemas afectados, permitiendo el control total de procesos industriales.
• Acceso no autorizado a datos, incluyendo archivos operativos y de configuración sensibles.
• Interrupción de servicios críticos, lo que podría generar riesgos para la seguridad en entornos industriales.
• Movimiento lateral dentro de redes OT, ampliando la superficie de ataque.

Dada la integración del software con sistemas SCADA y HMI, los riesgos van más allá de las brechas de datos, pudiendo afectar a operaciones físicas.

Acciones Recomendadas

INCIBE-CERT insta a las organizaciones que utilizan DIAView a:

1. Aplicar el último parche (v1.2.1.0 o superior) de inmediato para mitigar todas las vulnerabilidades identificadas.
2. Aislar los sistemas afectados de redes no confiables hasta que se implementen los parches.
3. Monitorear actividades sospechosas, especialmente tráfico de red inusual o intentos de acceso no autorizados.
4. Revisar y rotar credenciales, asegurando que no permanezcan contraseñas predeterminadas o codificadas.
5. Realizar una auditoría de seguridad en los sistemas de control industrial (ICS) para identificar puntos adicionales de exposición.

Delta Electronics ha publicado un aviso de seguridad (enlace) con detalles sobre el parche y orientaciones para la mitigación. Se recomienda a las organizaciones priorizar las actualizaciones debido a la alta severidad y los riesgos de explotación activa asociados a estos fallos.

Para más información, consulte el aviso de INCIBE-CERT.