Vulnerabilidades críticas y medias detectadas en dispositivos Siemens Industrial Edge

Según un aviso de CISA Advisories, varios productos de la línea Siemens Industrial Edge presentan vulnerabilidades de tipo path traversal que podrían ser explotadas por atacantes remotos autenticados. Estos dispositivos son utilizados globalmente en sectores considerados críticos, como la manufactura, los sistemas de transporte, la energía, la salud pública, los servicios financieros y las instalaciones gubernamentales.

La primera de estas vulnerabilidades, CVE-2026-44414, ha sido clasificada con una severidad MEDIUM y un puntaje CVSSv3.1 de 6.8. Esta deficiencia reside en una restricción inadecuada del acceso a las interfaces de programación de aplicaciones (API) y rutas internas, lo que podría permitir a un atacante con credenciales válidas acceder a información confidencial del sistema.

Por otro lado, la vulnerabilidad CVE-2026-44415, de naturaleza similar pero con un impacto potencialmente mayor, ha recibido una calificación de severidad CRITICAL con un puntaje CVSSv3.1 de 9.1. Además de la exposición de información sensible, la explotación de esta vulnerabilidad podría facilitar el acceso no autorizado al sistema o la eliminación de datos, lo que representa un riesgo significativo para la integridad operativa de los dispositivos afectados.

Los productos afectados por la CVE-2026-44414 incluyen el Industrial Edge Cloud Device (IECD), Industrial Edge Own Device (IEOD), Industrial Edge Virtual Device (IEVD), SCALANCE LPE9413 y LPE9433, varios modelos de SIMATIC IoT2050 y SIMATIC IPC Industrial Edge Device. Las versiones de estos productos anteriores a V1.28.1, V1.28.1-2 o V3.2.0-17 son susceptibles. La CVE-2026-44415 extiende su afectación a estos mismos productos y, adicionalmente, a una extensa lista de paneles SIMATIC HMI MTPxxx Unified Comfort y SIPLUS HMI MTPxxx Unified Comfort, donde todas las versiones están identificadas como vulnerables.

Siemens ha comenzado a liberar actualizaciones de firmware para una parte de los productos y recomienda a los usuarios instalar las versiones más recientes. Para aquellos sistemas donde aún no se dispone de una solución, el fabricante sugiere como mitigación limitar el acceso a la red exclusivamente a partes de confianza. CISA, por su parte, refuerza la importancia de minimizar la exposición de los dispositivos de control industrial a Internet y de implementar medidas de seguridad perimetral como firewalls y redes privadas virtuales (VPN), siempre actualizadas, para el acceso remoto.