Vulnerabilidades críticas y altas afectan a los sistemas openPDC y openHistorian de Grid Protection Alliance

La Agencia de Ciberseguridad e Infraestructura (CISA) ha emitido un aviso sobre múltiples vulnerabilidades que afectan a las plataformas de Grid Protection Alliance (GPA) openPDC y openHistorian. Estos sistemas son componentes clave en infraestructuras energéticas a nivel mundial, lo que subraya la relevancia de los hallazgos.

Según un aviso de CISA, disponible en su portal cisa.gov, un total de cinco vulnerabilidades (CVE-2026-104629, CVE-2026-100730, CVE-2026-105281, CVE-2026-85479, CVE-2026-101022) afectan a openPDC en versiones anteriores a 2.9.477 y 2.9.482, y a openHistorian en versiones anteriores a 2.8.580 y 2.8.585. Adicionalmente, las imágenes Docker de openPDC anteriores a 2.9.477 y 2.9.482 se ven afectadas por una sexta vulnerabilidad (CVE-2026-105278).

Entre los fallos de seguridad detectados, destacan dos clasificados con severidad CRITICAL:
* CVE-2026-100730 (Deserialización de Datos No Confiables): Este fallo en la interfaz de la consola de servicio de openPDC y openHistorian podría permitir la ejecución remota de código bajo los privilegios de la cuenta de servicio afectada. En sistemas sin autenticación de Windows, un atacante no autenticado podría explotar esta vulnerabilidad a través de la red.
* CVE-2026-105278 (Uso de Credenciales Preestablecidas): Específico de las imágenes Docker de openPDC, este defecto implica la inclusión de credenciales administrativas fijas, sin requisito de cambio inicial. Un atacante con acceso a la red de la interfaz de gestión podría autenticarse y obtener control administrativo completo de la aplicación.

Otras vulnerabilidades clasificadas como HIGH incluyen:
* CVE-2026-105281 (Autenticación Ausente): El publicador de datos interno de openPDC, en su configuración por defecto, acepta conexiones de red sin autenticación, lo que permitiría a un atacante obtener la topología completa de dispositivos y mediciones del sistema.
* CVE-2026-104629 (Uso de Entrada Controlada Externamente para Seleccionar Clases o Código): Un mecanismo de carga de componentes en openPDC y openHistorian podría permitir a un usuario autenticado con acceso al sistema de archivos ejecutar código constructor arbitrario con los privilegios de la cuenta de servicio.

Además, se identificaron vulnerabilidades con severidad MEDIUM, como CVE-2026-85479 (Autenticación Ausente en el publicador de datos STTP) y CVE-2026-101022 (Server-Side Request Forgery o SSRF en una función de conexión Modbus), que podrían permitir el intercambio de datos o el mapeo de la red interna por parte de un usuario autenticado.

Grid Protection Alliance ha implementado correcciones en las versiones 2.9.482 y posteriores de openPDC, y 2.8.585 y posteriores de openHistorian. Sin embargo, en el caso de las imágenes Docker de openPDC, no se ha planificado una solución, y GPA desaconseja su uso en entornos de producción. Algunas de las soluciones para instalaciones existentes requieren que los operadores verifiquen y actualicen manualmente la configuración para asegurar el enlace de la interfaz solo a la dirección de bucle invertido local.

CISA recomienda a los usuarios minimizar la exposición de la red para los dispositivos y sistemas de control, ubicándolos detrás de firewalls y aislándolos de las redes de negocio. La agencia también aconseja utilizar métodos seguros como las VPN para el acceso remoto, además de seguir las mejores prácticas de ciberseguridad industrial. Hasta la fecha, no se ha reportado explotación pública conocida de estas vulnerabilidades a CISA.