Vulnerabilidad de seguridad grave en el protocolo CC-Link IE TSN de Mitsubishi Electric

Una vulnerabilidad, identificada como CVE-2026-13584, ha sido detectada en el protocolo de comunicación CC-Link IE TSN de Mitsubishi Electric. Esta deficiencia, clasificada como una implementación incorrecta de la integridad de los mensajes durante la transmisión en un canal de comunicación (CWE-924), presenta un riesgo significativo para los sistemas de control industrial.

Según la información publicada por CISA, un atacante con acceso al mismo segmento de red podría explotar esta vulnerabilidad. El método de ataque implica el envío de paquetes especialmente diseñados bajo condiciones de tiempo específicas para manipular los datos de comunicación, como los valores de entrada y salida de control. La explotación exitosa podría resultar en una condición de denegación de servicio (DoS) al interferir con la función de control del producto afectado o al causar un funcionamiento incorrecto.

La criticidad de la vulnerabilidad se ha evaluado con una puntuación CVSS de 7.1, lo que la categoriza con una severidad ALTA. La lista de productos afectados es amplia y abarca una multitud de controladores MELSEC MX, módulos maestros/locales, placas de interfaz, módulos de movimiento, módulos remotos de tipo bloque, módulos de convertidor, servos AC MELSERVO-J5 y MELSERVO-JET, sistemas de vía lineal MTR-S, inversores de las series FR-A800/F800/E800, robots industriales CR800-D, unidades de comunicación, unidades de medición de energía, pantallas GOT3000 Series y varios paquetes de software relacionados con el control de movimiento y la comunicación. Todas las versiones de estos productos están afectadas.

Mitsubishi Electric ha declarado que no tiene previsto un parche para esta vulnerabilidad. Como medida paliativa, se recomienda restringir el acceso físico a los productos afectados y a la red CC-Link IE TSN, implementando controles de acceso, bloqueando paneles de control y puertos Ethernet. Adicionalmente, se sugiere operar los productos dentro de una red de confianza, donde la comunicación con redes y hosts no fiables esté bloqueada por un cortafuegos o medidas similares, y configurar adecuadamente las credenciales y privilegios de acceso para los dispositivos de red en los límites entre redes de confianza y externas. La vulnerabilidad fue reportada a Mitsubishi Electric por Alessandro Di Pinto, Giovanni Dini Gentilini, Luca Cremona y Gabriele Quagliarella de Nozomi Networks, Inc. Estos equipos son cruciales en el sector de la fabricación crítica y se despliegan a nivel global.