Vulnerabilidades detectadas en dispositivos Siemens RUGGEDCOM APE1808

Según un aviso de seguridad republicado por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el 22 de octubre de 2026, disponible en cisa.gov, se han identificado cinco vulnerabilidades en los dispositivos Siemens RUGGEDCOM APE1808 en todas sus versiones, específicamente aquellos que integran componentes Nozomi Guardian/CMC. Originado en Siemens ProductCERT tras información publicada por Nozomi Networks, este aviso detalla fallos de seguridad que comprometen la integridad y disponibilidad de sistemas en diversos sectores de infraestructura crítica.

Las vulnerabilidades identificadas son:

• CVE-2026-33387 (Severidad Media, CVSS v3.1 4.6): Se ha descubierto una vulnerabilidad de inyección de plantillas en la funcionalidad de Dashboards. Un usuario autenticado con los privilegios adecuados, o una víctima engañada mediante ingeniería social, podría ejecutar una carga útil maliciosa en su navegador, alterando datos de la aplicación o interrumpiendo su disponibilidad.

• CVE-2026-33388 (Severidad Alta, CVSS v3.1 7.4): Un fallo de control de acceso en la funcionalidad Credentials Manager permite a un usuario remoto autenticado con privilegios limitados visualizar y manipular entradas de credenciales. Esto podría interrumpir la autenticación para dispositivos dependientes o llevar a la obtención indirecta de credenciales.

• CVE-2026-33389 (Severidad Alta, CVSS v3.1 7.5): Una validación inadecuada de certificados/claves de host en la funcionalidad Smart Polling hace posible ataques de intermediario (Man-in-the-Middle). Un atacante podría suplantar un dispositivo, interceptar comunicaciones y credenciales, y utilizarlas para acceder, manipular datos o interrumpir operaciones.

• CVE-2026-33391 (Severidad Media, CVSS v3.1 5.4): Otra vulnerabilidad de control de acceso en la configuración de Smart Polling, que permite a un usuario autenticado con privilegios limitados bypassar la interfaz de gestión web y modificar la configuración de descubrimiento, afectando la visibilidad de los activos en la red monitoreada.

• CVE-2026-33920 (Severidad Baja, CVSS v3.1 3.5): Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en la funcionalidad de inicio de sesión (estándar y SAML) debido a la ausencia de validación del token anti-CSRF. Un atacante con una cuenta válida podría engañar a una víctima para que se autentique con las credenciales del atacante, comprometiendo la integridad del registro de auditoría.

Estos dispositivos Siemens RUGGEDCOM APE1808 son componentes desplegados a nivel mundial en sectores críticos como la fabricación, los sistemas de transporte, la energía, la salud pública, los servicios financieros y las instalaciones gubernamentales. Siemens ha recomendado a los usuarios afectados que contacten con el servicio de atención al cliente para obtener información sobre parches y actualizaciones. El aviso también sugiere medidas generales de seguridad, como proteger el acceso a la red de los dispositivos y seguir las pautas de seguridad industrial de Siemens.