El dato: dos fallas, seis modelos de RTU
El Instituto Nacional de Ciberseguridad de España (INCIBE), a través de su equipo de respuesta INCIBE-CERT, publicó el 13 de octubre de 2026 el aviso INCIBE-2026-729 sobre dos vulnerabilidades de severidad alta en productos de Schneider Electric (INCIBE-CERT, 2026). SecurityWeek confirmó ambos avisos en su resumen mensual de seguridad industrial (Kovacs, 2026).
La primera afecta a seis modelos de unidades terminales remotas (RTU) SAGE: 1410, 1430, 1450, 2400, 3030 Magnum y 4400. Una RTU es un equipo que recoge señales en campo y las envía a un sistema de supervisión, por ejemplo en subestaciones o redes de agua. La segunda afecta a las pantallas de interfaz humano-máquina (HMI) Pro-face STW6000 y Harmony STW6.
Contexto: qué permite cada falla
| Producto | Falla | Solución |
|---|---|---|
| RTU SAGE (6 modelos), versiones anteriores a C3414-500-S02L0 | Un administrador podría cargar firmware manipulado (CVE-2026-102250) | Actualizar a C3414-500-S02L0 |
| Pro-face STW6000 y Harmony STW6, todas las versiones | Visitar una página web maliciosa desde el equipo podría dar control no autorizado (CVE-2026-96434) | Sin parche; aplicar mitigaciones |
En las RTU, el problema es que el equipo no verifica bien la autenticidad del firmware, el programa interno que controla el dispositivo. En las pantallas, el origen es un componente de terceros sin mantenimiento. Según INCIBE, ninguna de las dos fallas se había explotado al publicarse el aviso. El código CVE (Vulnerabilidades y Exposiciones Comunes, por sus siglas en inglés) es el identificador público de cada vulnerabilidad, útil para buscarla en inventarios y herramientas de gestión de parches.
Qué significa para la industria
- Para mantenimiento e instrumentación: inventariar las RTU SAGE instaladas, actualizar a la versión C3414-500-S02L0, reiniciar el equipo y confirmar la versión en la página de configuración de la CPU, como indica el aviso.
- Para ciberseguridad de planta: mientras no haya parche para las pantallas, mantenerlas sin acceso a internet, permitir solo sitios locales de confianza, segmentar la red con un firewall y restringir memorias USB no verificadas.
- Para la dirección: en México, muchas plantas y servicios usan equipos de este tipo. Limitar quién puede configurar o actualizar equipos a administradores autenticados reduce el riesgo de ambas fallas.
Lo que sigue
Schneider Electric publicó los avisos SEVD-2026-286-01 y SEVD-2026-286-02. Conviene vigilar el aviso de las pantallas, que se actualizará cuando exista una versión corregida.
Opinión del Editor: Ninguna de las dos fallas se explota sola: una requiere privilegios de administrador y la otra que alguien navegue desde la pantalla. La disciplina básica de red y de accesos cubre buena parte del riesgo.
