Alerta de seguridad por vulnerabilidades en EPICS Base

Un informe de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) detalla cuatro vulnerabilidades en EPICS Base, versiones 7.0.10 y anteriores. Estas vulnerabilidades (CVE-2026-114595, CVE-2026-114596, CVE-2026-114597, CVE-2026-114598) podrían, en caso de ser explotadas, provocar una denegación de servicio, corrupción de memoria, divulgación de información sensible o, en el caso más grave, la ejecución remota de código arbitrario.

La vulnerabilidad identificada como CVE-2026-114595 presenta la mayor severidad, con una puntuación CVSSv3.1 de 9.8 y CVSSv4.0 de 9.3, siendo clasificada como CRÍTICA. Esta falla se debe a un desbordamiento de entero en el procesamiento de solicitudes de red que puede llevar a una asignación de memoria incorrecta, permitiendo la manipulación de datos por parte de un atacante para lograr ejecución remota de código.

Las otras tres vulnerabilidades, CVE-2026-114596, CVE-2026-114597 y CVE-2026-114598, han sido clasificadas con una severidad ALTA. La CVE-2026-114596 implica una validación incorrecta de la longitud de los mensajes durante el análisis del protocolo, lo que puede causar un desbordamiento de entero y una escritura de memoria fuera de los límites, resultando en inestabilidad del proceso o denegación de servicio. Las CVE-2026-114597 y CVE-2026-114598, por su parte, se deben a una validación insuficiente de valores en mensajes de red, permitiendo la lectura fuera de los límites de un búfer, lo que puede provocar una denegación de servicio y exponer contenidos de memoria adyacentes.

EPICS Base es utilizado en sectores críticos como el de manufactura a nivel mundial, lo que subraya la importancia de abordar estas fallas. Las vulnerabilidades fueron reportadas a CISA por Shubham Raj de Cipher / Causal Security.

Para mitigar estos riesgos, la Comunidad EPICS ha puesto a disposición actualizaciones en los repositorios de GitHub. Se recomienda a los usuarios afectados actualizar a la versión 7.0.11 de EPICS Base. Hasta la fecha de la publicación del aviso, no se ha reportado a CISA ninguna explotación pública conocida de estas vulnerabilidades. CISA también recomienda prácticas defensivas generales, como minimizar la exposición de dispositivos de sistemas de control en redes, usar firewalls y redes privadas virtuales (VPN) cuando sea necesario el acceso remoto.