Vulnerabilidades de alta severidad afectan productos Hitachi Energy TRO600 en infraestructura energética

La firma Hitachi Energy ha informado sobre la existencia de varias vulnerabilidades que comprometen la seguridad de sus productos de la serie TRO600. Según el aviso, originalmente publicado por Hitachi Energy y republicado por la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA), estas deficiencias pueden ser explotadas para la ejecución remota de código (RCE) y la revelación de datos confidenciales.

Las vulnerabilidades han sido clasificadas con una severidad alta. Específicamente, una de ellas (CVE-2026-10756) posee una puntuación CVSSv3.1 de 7.5 y CVSSv4.0 de 7.7, mientras que la segunda (CVE-2026-106087) alcanza un CVSSv3.1 de 7.5 y un CVSSv4.0 de 8.7. Estos productos son utilizados en sectores de infraestructura crítica, particularmente en el ámbito energético, y están desplegados a nivel global.

Entre las fallas identificadas, la CVE-2026-10756 corresponde a una restricción inadecuada del canal de comunicación a los puntos finales previstos (CWE-923). Permite a un atacante autenticado eludir las restricciones de acceso a la red y acceder a servicios que deberían ser solo accesibles localmente. La explotación de esta vulnerabilidad podría conceder acceso no autorizado a funcionalidades sensibles, información confidencial y afectar la disponibilidad del sistema. Las versiones TRO600 9.2.1.6 y anteriores se ven afectadas, con una solución disponible en la versión 9.2.2.1.

Por otro lado, la CVE-2026-106087 es una vulnerabilidad de lectura arbitraria de archivos (CWE-306), producto de la ausencia de autenticación para una función crítica. Un atacante no autenticado podría explotarla para leer o descargar archivos arbitrarios del dispositivo afectado, incluyendo configuraciones sensibles y datos de contraseñas, lo que resultaría en la divulgación de información confidencial. Esta vulnerabilidad afecta a las versiones TRO600 9.2.1.6 y 9.1.1.0 y anteriores, con parches provistos en las versiones 9.1.2.0 y 9.2.2.1.

Hitachi Energy recomienda actualizar a las versiones 9.2.2.1 o 9.1.2.0, según corresponda, para mitigar el riesgo. CISA también sugiere medidas defensivas generales, como minimizar la exposición de la red de los dispositivos de control, ubicarlos detrás de cortafuegos y aislarlos de las redes corporativas, además de usar VPNs cuando se requiera acceso remoto.