Siemens corrige vulnerabilidades en la API de SIMATIC S7 que afectan a sistemas industriales

La actualización lanzada por Siemens aborda dos vulnerabilidades en la .NET Client Library for SIMATIC S7 Webserver API que conciernen a la seguridad de la información y la integridad de los sistemas de automatización industrial. Según una publicación de CISA Advisories con fecha del 22 de octubre de 2026 en cisa.gov, las correcciones ya están disponibles y se recomienda a los usuarios actualizar a la última versión.

La primera vulnerabilidad, identificada como CVE-2026-85114, se clasifica como un fallo de ‘Improper Limitation of a Pathname to a Restricted Directory’ o ‘Path Traversal’ (CWE-22) y posee una severidad alta, con una puntuación CVSS 3.1 de 7.5. Este fallo podría permitir a un atacante, si manipula las respuestas de los tickets durante las descargas, escribir archivos arbitrarios fuera del directorio previsto o sobrescribir archivos existentes accesibles a la aplicación. Las versiones de la biblioteca cliente anteriores a la V3.3.61 son vulnerables a este ataque.

La segunda vulnerabilidad, CVE-2026-85115, es un fallo de ‘Generation of Error Message Containing Sensitive Information’ (CWE-209), con una severidad media y una puntuación CVSS 3.1 de 5.5. Esta deficiencia permitiría a un atacante con acceso a los registros o a la salida de diagnóstico obtener contraseñas de restauración de PLC en texto plano, lo que podría posibilitar operaciones no autorizadas en el controlador lógico programable (PLC). Afecta a versiones de la biblioteca anteriores a la V3.3.62.

Ambas vulnerabilidades se encuentran en la .NET Client Library for SIMATIC S7 Webserver API y tienen un despliegue mundial, impactando a sectores de infraestructura crítica como la manufactura, sistemas de transporte, energía, salud pública, servicios financieros y servicios gubernamentales. Siemens ProductCERT reportó estas vulnerabilidades a CISA, y las soluciones ya están disponibles mediante la actualización de la biblioteca a la versión V3.3.61 o posterior para CVE-2026-85114, y a la V3.3.62 o posterior para CVE-2026-85115.

CISA recomienda medidas defensivas generales para minimizar el riesgo de explotación, incluyendo la minimización de la exposición de red de los dispositivos de sistemas de control, el aislamiento de las redes de control con firewalls, y el uso de redes privadas virtuales (VPNs) actualizadas para el acceso remoto, reconociendo sus propias vulnerabilidades.