Identificada vulnerabilidad de autenticación en PowerChute Serial Shutdown de Schneider Electric

Schneider Electric ha emitido una alerta sobre una vulnerabilidad de tipo Improper Restriction of Excessive Authentication Attempts (CVE-2026-13348, CWE-307) que afecta a su producto PowerChute Serial Shutdown. Esta incidencia concierne a las versiones 1.5 y anteriores del software, que cumple funciones de gestión de UPS y facilita el apagado controlado de sistemas y la administración energética en equipos como ordenadores de escritorio, servidores y estaciones de trabajo.

La vulnerabilidad, con una puntuación CVSS v3.1 de 5.3 y clasificada como de severidad MEDIA, podría ser explotada por un atacante para obtener acceso no autorizado a una cuenta de usuario. Esto es posible al realizar un número arbitrario de intentos de autenticación cuando el manejo de redirección está deshabilitado. La explotación exitosa podría derivar en una validación de autenticación indebida, con el riesgo subsiguiente de interrupción de las operaciones y acceso a los datos del sistema.

El software PowerChute Serial Shutdown se despliega a nivel mundial en diversos sectores considerados infraestructura crítica, incluyendo instalaciones comerciales, manufactura crítica, energía y tecnología de la información. Este contexto resalta la importancia de la mitigación de la vulnerabilidad.

Para solventar esta vulnerabilidad, Schneider Electric ha dispuesto una corrección en la versión 1.6 de PowerChute Serial Shutdown. La compañía recomienda a los usuarios afectados actualizar a esta versión, disponible para sistemas operativos Windows y Linux, y llevar a cabo el reinicio del sistema tras la instalación para asegurar la correcta aplicación del parche. La Agencia de Ciberseguridad e Infraestructura (CISA) de Estados Unidos republicó esta alerta el 17 de septiembre de 2026, facilitando su visibilidad a través de su advisory ICS-26-260-07.