Siemens aparece esta semana con al menos cuatro avisos distintos. Un solo fabricante concentra vulnerabilidades que abarcan desde WinCC y SIPROTEC 5, hasta toda la familia SCALANCE y SINEC INS. Eso no es casual: es un patrón que merece atención inmediata. Sumado a esto, Daktronics recibe confirmación doble, de CISA e INCIBE, sobre credenciales hardcodeadas y carga de archivos sin restricción en sus controladores DMP. El tercer dato que no debe pasar desapercibido: un OpenSSL con CVSS 9.8 toca más de cien productos Siemens en producción activa. Si su inventario incluye equipos de Siemens, Daktronics, Schneider Electric, Yokogawa o Delta Electronics, esta edición es para revisar antes del fin de semana.

Un stack buffer overflow en el parseo de mensajes CMS AuthEnvelopedData con parámetros AEAD malformados afecta a prácticamente todo el portafolio de Siemens que usa OpenSSL 3.x. El vector es remoto, sin autenticación y sin interacción del usuario (CVSS v3 9.8). El desbordamiento ocurre antes de cualquier verificación de autenticidad, lo que significa que no se necesita material criptográfico válido para activarlo. La lista de productos afectados es extensa: SCALANCE M/S/SC/W/X, SIMATIC WinCC (V7.5, V8.0, V8.1, OA, Runtime Advanced), SIMATIC HMI Panels, SINEC INS, SINEC NMS, SINAMICS G200/G220/S200/S210/S220, SIMATIC STEP 7 V5, SIMATIC IOT2050, RUGGEDCOM, y muchos más. Siemens ya publicó correcciones para varios productos; otros están en proceso o no tienen fix planeado. En entornos OT el riesgo se amplifica si estos equipos procesan contenido CMS/PKCS#7 proveniente de fuentes externas —correo, intercambio de archivos, OPC UA— sin inspección previa. (CVE-2025-15467)

Tres vulnerabilidades en el firmware de los controladores Daktronics forman una cadena de compromiso completo. La más grave es una cuenta administrativa de fábrica con credenciales débiles que no se exige cambiar en ningún momento del ciclo de vida del dispositivo (CVSS v4 9.3). Combinada con el path traversal que permite enumerar el sistema de archivos sin autenticación (CVSS v4 9.3) y la carga sin validación de archivos ejecutables en el servidor (CVSS v4 8.4), un atacante remoto puede obtener acceso root total. Este aviso fue reportado simultáneamente por CISA e INCIBE-CERT, lo que refuerza su relevancia. Los controladores DMP se usan en entornos de instalaciones comerciales, servicios de emergencia y salud pública. (CVE-2026-28701, CVE-2026-31928, CVE-2026-33560)

SINEC INS anterior a V1.0 SP2 Update 6 acumula cuatro vulnerabilidades encadenables. La más severa: el endpoint /api/sftp/uploadFiles no sanea nombres de directorio, permitiendo inyección de comandos de shell que se ejecutan con los privilegios del servicio (CVSS v3 8.8). Un binario del sistema tiene habilitada la capability cap_dac_override, que permite bypassear todos los permisos del sistema de archivos y escalar a root desde una sesión local con privilegios bajos (CVSS v3 8.8). Adicionalmente, el esquema de hashing de contraseñas usa un valor de aleatoriedad estático hardcodeado e idéntico en todas las instalaciones, lo que hace trivial la recuperación por fuerza bruta offline. El path traversal en el mismo endpoint completa el panorama. SINEC INS gestiona configuraciones de red industrial centralizada; un compromiso aquí puede afectar múltiples segmentos OT simultáneamente. (CVE-2026-46746, CVE-2026-46747, CVE-2026-46748, CVE-2026-46749)

Todas las versiones de los relés de protección SIPROTEC 5 (prácticamente toda la familia: 7SA, 7SD, 7SJ, 7SL, 7SK, 7UT, 7VK, 7ST, 7SX, 6MD, entre otros) permiten que un usuario autenticado cargue archivos de cualquier tipo sin restricción usando el protocolo DIGSI 5. El resultado puede ser una condición de denegación de servicio permanente o potencialmente ejecución de código mediante configuraciones maliciosas. SIPROTEC 5 son relés de protección críticos en subestaciones y redes eléctricas industriales; un DoS en estos dispositivos puede tener impacto directo en la operación de sistemas de potencia. Siemens ya liberó la versión 9.90 con lista de archivos permitidos para modelos CP050/CP100/CP150/CP300, y V10.00 para 7ST85 y 7ST86; algunos modelos no tienen corrección planificada. (CVE-2025-40808)

Esta semana la señal más clara no viene de una sola vulnerabilidad sino del volumen: Siemens con cuatro avisos simultáneos, Daktronics confirmado por dos agencias, B&R con exploits públicos ya disponibles. No es momento de esperar la siguiente ventana de mantenimiento si alguno de estos productos está en su red OT sin segmentación adecuada. Si hay algo en esta edición que le genera dudas sobre cómo priorizar en su entorno específico, responda este correo. Lo leemos.