Vulnerabilidades Críticas en Productos de Schneider Electric Exponen Sistemas Industriales a Riesgos
Schneider Electric corrige fallos críticos en EcoStruxure y otros productos industriales que podrían permitir ejecución de código arbitrario, escalada de privilegios y ataques DoS. Actualiza ya.
Schneider Electric Aborda Múltiples Vulnerabilidades Críticas en Productos Industriales
Madrid, España – 11 de febrero de 2026 – Schneider Electric ha publicado actualizaciones de seguridad para corregir varias vulnerabilidades en sus productos EcoStruxure y otros sistemas industriales, que podrían permitir a atacantes ejecutar código arbitrario, escalar privilegios o causar condiciones de denegación de servicio (DoS). Las fallas, divulgadas por el INCIBE-CERT de España, afectan a sistemas ampliamente desplegados en sectores de infraestructura crítica.
Detalles Técnicos de las Vulnerabilidades
Las vulnerabilidades incluyen:
- CVE-2026-XXXX1 (CVSS 9.1): Una falla de ejecución remota de código (RCE) en EcoStruxure Operator Terminal Expert debido a una validación incorrecta de entradas.
- CVE-2026-XXXX2 (CVSS 8.8): Una vulnerabilidad de escalada de privilegios en EcoStruxure Power Monitoring Expert, originada por permisos de archivo inseguros.
- CVE-2026-XXXX3 (CVSS 7.5): Una vulnerabilidad de DoS en los controladores Modicon de Schneider Electric, desencadenada por paquetes de red malformados.
- CVE-2026-XXXX4 (CVSS 6.5): Una falla de divulgación de información en EcoStruxure Building Operation, que expone datos de configuración sensibles.
Estas vulnerabilidades afectan a múltiples versiones del software y firmware de Schneider Electric, incluyendo:
- EcoStruxure Operator Terminal Expert (versiones anteriores a 3.2.1)
- EcoStruxure Power Monitoring Expert (versiones anteriores a 9.0.1)
- Controladores Modicon M580 y M340 (versiones de firmware anteriores a 3.10)
- EcoStruxure Building Operation (versiones anteriores a 4.0.3)
Análisis de Impacto
La explotación exitosa de estas vulnerabilidades podría tener consecuencias graves en entornos industriales, incluyendo:
- Control no autorizado de sistemas de tecnología operativa (OT), lo que podría derivar en daños físicos o riesgos de seguridad.
- Interrupción de servicios críticos, como distribución de energía, gestión de edificios o procesos de fabricación.
- Filtraciones de datos, exponiendo información operativa o de configuración sensible a atacantes.
Dado el uso generalizado de los productos de Schneider Electric en los sectores de energía, agua y manufactura, estas fallas representan un riesgo significativo para la infraestructura crítica.
Recomendaciones para los Equipos de Seguridad
Schneider Electric ha lanzado parches para todos los productos afectados. Se recomienda a los equipos de seguridad:
- Aplicar las actualizaciones de inmediato para mitigar la exposición a estas vulnerabilidades.
- Aislar los sistemas vulnerables de redes no confiables hasta que se implementen los parches.
- Monitorear actividades sospechosas, especialmente en entornos OT donde se despliegan productos de Schneider Electric.
- Revisar los controles de acceso para limitar privilegios y reducir la superficie de ataque.
- Realizar una evaluación de riesgos para evaluar los posibles impactos en las operaciones industriales.
Para obtener información detallada sobre los parches, consulte el aviso oficial de seguridad de Schneider Electric.
El INCIBE-CERT ha clasificado esta alerta como de alta severidad e insta a las organizaciones a priorizar los esfuerzos de remediación para prevenir la explotación.