Vulnerabilidad de alta severidad en el Secure Boot de IPCs SIMATIC de Siemens

Una vulnerabilidad identificada como CVE-2026-72895 afecta a diversas versiones de los SIMATIC IPCs de Siemens, permitiendo eludir las protecciones de arranque seguro UEFI (Secure Boot).

Según la información publicada por CISA Advisories, el fallo se origina en la presencia de una clave de prueba de BIOS dentro de la base de datos de claves de UEFI Secure Boot. Esto posibilita que un atacante, con acceso físico o administrativo al dispositivo, pueda arrancar un sistema operativo o una aplicación UEFI firmada con dicha clave de prueba, incluso cuando Secure Boot está activado.

La explotación de esta vulnerabilidad podría derivar en una pérdida completa de confidencialidad, integridad y disponibilidad del dispositivo. La clasificación CVSSv3.1 asigna a este fallo una puntuación de 7.7, categorizándolo con severidad alta.

Los productos SIMATIC IPC de Siemens afectados incluyen:
* SIMATIC IPC BX-21A en versiones anteriores a la V31.01.13.
* SIMATIC IPC RW-543A en versiones anteriores a la V1.1.4.
* SIMATIC IPC227G / IPC277G / IPC277G PRO / IPC327G / IPC377G en versiones anteriores a la V28.01.15.

Siemens ha lanzado nuevas versiones de BIOS para los productos afectados y recomienda la actualización inmediata a las versiones V31.01.13 o posterior para el BX-21A, V1.1.4 o posterior para el RW-543A, y V28.01.15 o posterior para las series IPC227G/277G/327G/377G. Es crucial, tras la actualización del BIOS, cargar la configuración por defecto y reaprovisionar las claves de Secure Boot si estas se habían configurado previamente.

Como mitigación temporal, los usuarios pueden eliminar manualmente la clave de prueba de la base de datos (por ejemplo, "DO NOT TRUST – AMI Test PK" o "insyde-ElkhartLake"). Sin embargo, la carga de la configuración por defecto restauraría esta clave, por lo que la actualización de la versión de BIOS es la recomendación principal.

Estos dispositivos SIMATIC IPCs se despliegan a nivel mundial en sectores de infraestructura crítica como la manufactura, sistemas de transporte, energía, salud pública, servicios financieros y servicios gubernamentales, lo que subraya la importancia de aplicar las actualizaciones y mitigaciones propuestas para mantener la seguridad operacional.