Vulnerabilidades críticas en el dispositivo industrial Siemens RUGGEDCOM APE1808 afectan infraestructuras esenciales

Siemens ha emitido una alerta de seguridad relativa a su dispositivo RUGGEDCOM APE1808, revelando la existencia de dos vulnerabilidades de seguridad que residen en el software Fortinet NGFW integrado. Estos fallos podrían ser explotados para ejecutar código arbitrario o acceder y manipular el sistema de archivos, con implicaciones potenciales para la estabilidad y seguridad de infraestructuras críticas en todo el mundo.

El RUGGEDCOM APE1808 es un dispositivo de uso industrial diseñado para operar en entornos exigentes, y su presencia en sectores como la manufactura crítica, la energía y los sistemas de transporte subraya la relevancia de estas revelaciones.

Vulnerabilidades detectadas

La primera vulnerabilidad, identificada como CVE-2026-23573, corresponde a un Cross-site Scripting (XSS) de tipo ‘Improper Neutralization of Input During Web Page Generation’ (CWE-79). Este fallo se encuentra en diversas versiones de FortiOS, FortiPAM y FortiProxy, y podría permitir a un usuario remoto autenticado ejecutar código o comandos mediante solicitudes malintencionadas. La puntuación CVSSv3.1 para esta vulnerabilidad es de 6.1, lo que la clasifica como de severidad media.

La segunda vulnerabilidad, CVE-2026-59839, es un fallo de tipo Path Traversal (‘Improper Limitation of a Pathname to a Restricted Directory’, CWE-22). Afecta a FortiOS, FortiPAM, FortiProxy y FortiSwitch Manager. Esta debilidad podría permitir a un atacante autenticado y privilegiado, con acceso físico al dispositivo, eliminar el sistema de archivos a través de comandos CLI específicos. Su puntuación CVSSv3.1 es de 5.5, también considerada de severidad media.

Medidas y recomendaciones

Siemens recomienda a sus clientes contactar con el soporte técnico para obtener información detallada y seguir las directrices de Fortinet para la implementación de soluciones temporales y medidas de mitigación. Además, tanto Siemens como la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) han emitido recomendaciones generales de seguridad.

Entre las pautas se incluye proteger el acceso a la red de los dispositivos con mecanismos apropiados, minimizar la exposición de los sistemas de control a la red y asegurarse de que no sean accesibles desde internet. Es fundamental ubicar las redes de control y los dispositivos remotos detrás de cortafuegos y aislarlos de las redes corporativas. En los casos donde se requiera acceso remoto, se aconseja el uso de redes privadas virtuales (VPN), con la advertencia de que estas también deben estar actualizadas a sus versiones más recientes y su seguridad es tan sólida como la de los dispositivos conectados.