Vulnerabilidades críticas y medias en el kit de dispositivos Siemens Industrial Edge

Según un aviso reciente de CISA Advisories, el Industrial Edge Device Kit de Siemens contiene dos vulnerabilidades de tipo path traversal, identificadas como CVE-2026-44414 y CVE-2026-44415. Estos fallos podrían permitir a un atacante remoto autenticado acceder a información interna sensible.

La vulnerabilidad CVE-2026-44414 tiene una puntuación CVSS v3.1 de 6.8, clasificándose con una severidad MEDIA. Su explotación podría facilitar el acceso no autorizado al sistema.

Por su parte, la vulnerabilidad CVE-2026-44415 presenta una puntuación CVSS v3.1 de 9.1, lo que le otorga una severidad CRÍTICA. Además de permitir el acceso a información sensible y el acceso no autorizado al sistema, este fallo podría llegar a provocar la eliminación de datos.

Ambas vulnerabilidades afectan a una amplia gama de versiones del Industrial Edge Device Kit para arquitecturas arm64 y x86-64, abarcando desde la V1.5 hasta la V1.28, con rangos específicos para algunas de las versiones más recientes. Siemens ha liberado nuevas versiones para un número limitado de productos afectados (V1.26.2-1 o posterior, V1.27.1-1 o posterior, y V1.28.0-6 o posterior) e insta a los usuarios a actualizar a estas versiones. Para el resto de las versiones afectadas, donde no hay una solución de software planificada, Siemens recomienda aplicar contramedidas específicas.

Las principales mitigaciones sugeridas para los sistemas que no tienen un fix disponible incluyen limitar el acceso a la red de los productos afectados únicamente a partes de confianza. Asimismo, se aconseja proteger el acceso a la red de los dispositivos con mecanismos adecuados y configurar el entorno de TI según las directrices operativas de seguridad industrial de Siemens, además de seguir las recomendaciones de los manuales de producto. CISA, por su parte, recomienda minimizar la exposición de la red para todos los dispositivos de sistemas de control, aislándolos de las redes de negocio y empleando métodos seguros como las Redes Privadas Virtuales (VPN) cuando se requiera acceso remoto.

Los dispositivos Industrial Edge de Siemens son utilizados en sectores de infraestructura crítica a nivel mundial, incluyendo fabricación crítica, sistemas de transporte, energía, salud pública, servicios financieros y servicios/instalaciones gubernamentales, lo que acentúa la relevancia de estas advertencias de seguridad.