Múltiples vulnerabilidades en productos Siemens APOGEE, TALON y Desigo PXC/PXM

Las vulnerabilidades reportadas por Siemens ProductCERT y republicadas por CISA abarcan una serie de defectos que comprometen la disponibilidad y la integridad de los datos en los sistemas afectados. Estos productos, desplegados a nivel mundial, son utilizados en sectores de infraestructura crítica como manufactura, sistemas de transporte, energía, salud y finanzas.

Entre los fallos identificados se encuentra la CVE-2026-89208, clasificada con una severidad MEDIA (CVSS 5.3), que reside en la validación de límites de entrada. Esta vulnerabilidad permite a un atacante remoto no autenticado activar lecturas de memoria fuera de los límites previstos del paquete. Para 13 productos Desigo PXC/PXM a partir de la versión 2.3, Siemens ha indicado que no hay planes de corrección, recomendando la segmentación de red y la protección con cortafuegos como mitigación.

Adicionalmente, se han revelado cuatro vulnerabilidades de severidad ALTA. La CVE-2026-102073 (CVSS 8.2) se relaciona con una validación inadecuada de la longitud de la entrada en el servicio web, lo que podría permitir la lectura de porciones de la memoria del dispositivo o una denegación de servicio. Las CVE-2026-102074, CVE-2026-102075 y CVE-2026-102076, todas con una severidad ALTA (CVSS 7.5), afectan al servicio FTP y al servicio web, respectivamente, debido a validaciones incorrectas de entrada y carga de código. La explotación de estas podría conducir a condiciones de denegación de servicio.

Para varias líneas de productos APOGEE y Desigo afectadas por estas vulnerabilidades de severidad ALTA, Siemens tampoco tiene previsto un parche. Sin embargo, se han lanzado actualizaciones para productos específicos como TALON TC Compact/Modular (versiones anteriores a V3.5.7) y APOGEE PXC Compact/Modular (versiones anteriores a V3.5.7 o V2.8.21), que deben actualizarse a sus versiones más recientes.

Como mitigación general, Siemens y CISA recomiendan proteger el acceso a la red de los productos afectados mediante mecanismos apropiados, como la segmentación de la red y el posicionamiento de los controladores detrás de puertas de enlace o cortafuegos configurados adecuadamente. También se sugiere deshabilitar el servicio FTP/Web, aunque se señala que este suele estar deshabilitado por defecto en los productos APOGEE, Desigo y TALON.