Vulnerabilidades críticas en firmware EOL de RTU500 de Hitachi Energy

Hitachi Energy ha publicado un aviso de ciberseguridad en respuesta a los hallazgos reportados por Dragos que afectan al firmware de las Unidades de Gestión y Control (CMU) RTU500, específicamente a las versiones 11.x y anteriores, clasificadas como de fin de vida útil (End-of-Life o EOL). Estas versiones no incorporan los controles de seguridad y medidas de endurecimiento que son estándar en los sistemas de control industrial modernos, lo que las hace susceptibles a diversas explotaciones.

Según el aviso de Hitachi Energy, republicado por CISA ver el aviso completo en CISA, las versiones de firmware EOL se ven afectadas por seis vulnerabilidades identificadas con sus respectivos CVEs. Tres de estas han sido clasificadas como CRÍTICAS, dos como ALTAS y una como MEDIA, según la puntuación CVSS 3.1. Las versiones de firmware RTU500 CMU actualmente soportadas por Hitachi Energy no están afectadas por estos problemas de seguridad.

Las vulnerabilidades detectadas incluyen:

• CVE-2026-8065 (CRÍTICA, CVSS 9.1): Un fallo de omisión de autenticación en el proceso de actualización de firmware permite a un atacante no autenticado cargar firmware arbitrario. Su explotación podría modificar la funcionalidad del dispositivo o comprometer su integridad y disponibilidad.
• CVE-2026-8066 (CRÍTICA, CVSS 9.1): Una vulnerabilidad de "directory traversal" en la función de carga de archivos permite a un atacante no autenticado escribir o sobrescribir archivos arbitrarios en el sistema de ficheros del dispositivo, lo que podría resultar en una modificación no autorizada de datos o interrupción del funcionamiento.
• CVE-2010-2965 (CRÍTICA, CVSS 9.8): Un fallo en el servicio de depuración WDB del agente objetivo en Wind River VxWorks, utilizado en algunas versiones antiguas del firmware CMU de RTU500, permite a atacantes remotos leer o modificar ubicaciones de memoria arbitrarias, realizar llamadas a funciones o gestionar tareas a través del puerto UDP 17185.
• CVE-2014-9195 (ALTA, CVSS 8.1): Una vulnerabilidad de autenticación ausente en un servicio de red de las RTU500 permite a un atacante remoto no autenticado ejecutar comandos arbitrarios, pudiendo resultar en una modificación no autorizada o interrupción del dispositivo.
• CVE-2023-46143 (ALTA, CVSS 7.5): Un fallo de descarga de código sin verificación de integridad permite a un atacante remoto no autenticado modificar aplicaciones en el dispositivo, lo que podría alterar la funcionalidad o interrumpir el funcionamiento.
• CVE-2026-8067 (MEDIA, CVSS 6.5): Una vulnerabilidad de autorización inadecuada en la aplicación web del RTU500 permite a un usuario autenticado reiniciar el dispositivo, provocando una indisponibilidad temporal y la interrupción de su operación.

Dado que los dispositivos RTU500 se despliegan a nivel mundial en infraestructuras críticas, especialmente en el sector energético, Hitachi Energy recomienda encarecidamente actualizar a una versión de firmware RTU500 actualmente soportada, como la 12.7.8 o la 13.9.1, o la más reciente disponible. Además, se aconseja implementar medidas de defensa en profundidad y mejores prácticas de ciberseguridad para mitigar los riesgos en los entornos operativos.