Vulnerabilidades críticas en PowerSYSTEM Center de Subnet Solutions

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha emitido una alerta con el identificador ICSA-26-307-01 detallando la existencia de dos vulnerabilidades críticas en el software PowerSYSTEM Center de Subnet Solutions. Este sistema, desplegado globalmente en sectores de infraestructura crítica como la manufactura y la energía, presenta fallos que, de ser explotados, podrían comprometer la integridad y el acceso a los recursos gestionados.

Las vulnerabilidades identificadas son:
* CVE-2026-63017: Este fallo corresponde a una autorización incorrecta (CWE-863). Permite que un usuario autenticado con privilegios bajos acceda a recursos que normalmente están reservados para administradores.
* CVE-2026-63774: Esta vulnerabilidad reside en la validación insuficiente de entrada dentro del diseñador de informes del PowerSYSTEM Center (CWE-89, SQL Injection). Un usuario autenticado puede aprovecharla para ejecutar comandos SQL no autorizados.

Ambas vulnerabilidades han sido clasificadas con una severidad "CRITICAL" en el sistema de puntuación CVSS. La CVE-2026-63017 presenta una puntuación de 9.0 bajo CVSS v3.1 y 9.4 bajo CVSS v4.0. La CVE-2026-63774 muestra las mismas puntuaciones de 9.0 (CVSS v3.1) y 9.4 (CVSS v4.0). La explotación exitosa de cualquiera de estas podría resultar en la ejecución de comandos SQL no autorizados y el acceso a recursos no permitidos.

Las versiones afectadas de Subnet Solutions PowerSYSTEM Center incluyen:
* PowerSYSTEM Center 2020 versiones <=5.29.x
* PowerSYSTEM Center 2024 versiones >=6.0.x y <=6.2.x
* PowerSYSTEM Center 2026 versiones >=7.0.x y <=7.1.x

Subnet Solutions ha recomendado medidas de remediación y mitigación para los usuarios de las versiones impactadas. Estas incluyen la actualización a PowerSYSTEM Center 2020 Update 30, PowerSYSTEM Center 2026 Update 1.1 (para usuarios de 2024 y 2026), o contactar a su equipo de integración de sistemas. Para aquellos que no puedan actualizar de inmediato, se sugieren medidas como monitorear los registros de actividad de los usuarios, deshabilitar el acceso a las herramientas de desarrollo F12 del navegador para usuarios de PowerSYSTEM Center Client Access Server, y deshabilitar el acceso al diseñador de informes.

Estas vulnerabilidades fueron reportadas a CISA por Chinmay Patel de Digital Boundary Group y por la propia Subnet Solutions. CISA ha señalado que, hasta el momento, no se ha reportado ninguna explotación pública conocida de estas vulnerabilidades. Se subraya que los fallos no son explotables de forma remota, lo que implica que su explotación requeriría acceso local o a la red del sistema de control.