Vulnerabilidades críticas y altas afectan software industrial de Mitsubishi Electric

Una reciente publicación por CISA Advisories detalla cuatro fallos de seguridad en una amplia gama de productos de software de control industrial de Mitsubishi Electric. Las vulnerabilidades afectan a soluciones como GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 y BizViz.

Entre los hallazgos, se identifican una vulnerabilidad de escritura fuera de límites (CVE-2023-4863), dos mecanismos débiles de recuperación de contraseña (CVE-2026-16436 y CVE-2026-16437) y una asignación incorrecta de privilegios (CVE-2026-16438). Las vulnerabilidades CVE-2023-4863, CVE-2026-16436 y CVE-2026-16438 han recibido puntuaciones CVSS v4.0 de 9.3, 9.2 y 9.4, respectivamente, clasificándolas como CRÍTICAS. La vulnerabilidad CVE-2026-16437, con una puntuación CVSS v4.0 de 7.1, se considera ALTA.

La explotación exitosa de estos fallos podría permitir a un atacante ejecutar código arbitrario, sortear mecanismos de autenticación o realizar operaciones no autorizadas. Las consecuencias incluyen la divulgación de información sensible, la alteración, destrucción o eliminación de datos, y la interrupción del servicio del sistema, lo que podría generar condiciones de denegación de servicio (DoS).

Mitsubishi Electric ha desarrollado versiones corregidas para la mayoría de los productos afectados. Se recomienda a los usuarios actualizar a las versiones 10.97.3 o posteriores para GENESIS64 e ICONICS Suite (para CVE-2023-4863), 11.04 o posteriores para GENESIS, y 10.98 o posteriores para GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI e IoTWorX (para las CVE-2026-16436, CVE-2026-16437 y CVE-2026-16438).

Sin embargo, para los productos MC Works64 (todas las versiones), GENESIS32 (todas las versiones) y BizViz (todas las versiones), Mitsubishi Electric no tiene planes de lanzar actualizaciones de seguridad. En estos casos, se aconseja a los usuarios implementar las mitigaciones propuestas por el fabricante o considerar la sustitución de estos productos por alternativas más seguras como GENESIS64 o GENESIS. Las mitigaciones generales incluyen restringir el acceso administrativo, utilizar cortafuegos y VPNs, controlar el acceso físico y mantener software antivirus.