Ejecución remota de código en Siemens Industrial Edge App Publisher

Siemens ha publicado una actualización para su software Industrial Edge App Publisher con el fin de mitigar una cadena de vulnerabilidades que podría permitir la ejecución remota de código (RCE) en los equipos locales. Este producto, empleado en sectores de infraestructura crítica como la fabricación, la energía y los sistemas de transporte a nivel mundial, se ve afectado en versiones anteriores a la 1.27.9.

Según la información facilitada por CISA en su aviso del 22 de octubre de 2026, la cadena de ataque implica dos fallos de seguridad. El primero, identificado como CVE-2026-78556, reside en una validación incorrecta del certificado del servidor al establecer una conexión TLS. Este error permite a un atacante en la red realizar un ataque de intermediario (Man-in-the-Middle) y suplantar una entidad de confianza, con una severidad calificada como ALTA (CVSSv3.1 Base Score 7.4).

El segundo, CVE-2026-78557, corresponde a una sanitización o escape inadecuado de los datos recibidos del backend antes de su renderización en la interfaz de usuario. Dada la integración del frontend con Node.js, esta vulnerabilidad puede ser explotada para ejecutar JavaScript arbitrario, lo que a su vez conduce a la ejecución remota de código en la máquina de la víctima. Su severidad se clasifica también como ALTA (CVSSv3.1 Base Score 8.3).

La combinación de estas dos vulnerabilidades permite a un atacante en la misma red suplantar el servidor de gestión y ejecutar código arbitrario en la máquina local. Siemens recomienda encarecidamente actualizar a la versión 1.27.9 o posterior para abordar estas deficiencias de seguridad. Además, la compañía sugiere proteger el acceso a la red de los dispositivos con mecanismos apropiados y configurar el entorno IT siguiendo las directrices operativas de seguridad industrial.