Vulnerabilidad de ejecución remota de código de alta severidad en Hitachi Energy SOI

Según un aviso de CISA, que republica una alerta de Hitachi Energy, se ha confirmado una vulnerabilidad de ejecución remota de código (RCE) que impacta en el producto SOI de Hitachi Energy. La falla, con una calificación CVSSv3.1 de 8.8 (severidad alta), afecta específicamente a las versiones comprendidas entre la 2.0.0 y la 2.2.0.

Identificada como CVE-2026-34197, la vulnerabilidad se origina en el control inadecuado de la generación de código (inyección de código) y la validación de entrada en el componente Apache ActiveMQ, utilizado por SOI como agente de mensajes JMS.

Un atacante autenticado podría explotar el puente Jolokia JMX-HTTP expuesto en la consola web de ActiveMQ. Mediante la invocación de operaciones específicas con una URI de descubrimiento manipulada, se podría cargar un contexto de aplicación Spring XML remoto. Esto permitiría la ejecución de código arbitrario en la máquina virtual Java (JVM) del broker, afectando la confidencialidad, integridad y disponibilidad del producto.

El material de origen señala que estos productos se despliegan a nivel global y se utilizan en sectores de infraestructura crítica, como el energético.

Para mitigar el riesgo, Hitachi Energy ha lanzado el parche SOI EP2. Esta actualización eleva la versión de ActiveMQ a 5.19.5 e incluye mejoras en los scripts de gestión de SOI y una actualización de OpenJDK a la versión 11 para el broker de mensajes. Se recomienda a los usuarios afectados aplicar esta corrección de inmediato.