Entre el 3 y el 14 de agosto, INCIBE-CERT publicó catorce avisos de seguridad de sistemas de control industrial. Varios afectan a equipos que están instalados en fábricas españolas ahora mismo. Esto no va de hackers: va de una lista de firmwares que hay que actualizar y de decidir cuándo se puede parar la máquina para hacerlo.
Qué ha pasado
Los avisos de seguridad de sistemas de control industrial de INCIBE-CERT son la fuente oficial en español y publican prácticamente a diario. Los de estos doce días, por orden:
| Fecha | Aviso |
|---|---|
| 14/08 | Múltiples vulnerabilidades en APM Edge de Hitachi Energy |
| 14/08 | Inyección de comandos en Haiwell IoT Cloud HMI Gateway |
| 14/08 | Múltiples vulnerabilidades en HIPASE-250 y 250 SCALA de ANDRITZ |
| 14/08 | Deserialización de datos no confiables en Enterprise SCADA de AVEVA |
| 14/08 | Credenciales codificadas en Flow Neuroscience FL-100 |
| 14/08 | Múltiples vulnerabilidades en productos de Johnson Controls |
| 13/08 | Múltiples vulnerabilidades en PLCnext Firmware de Phoenix Contact |
| 13/08 | Múltiples vulnerabilidades en ScadaLTS |
| 12/08 | Múltiples vulnerabilidades en productos de Johnson Controls |
| 12/08 | Múltiples vulnerabilidades en productos de Schneider Electric |
| 12/08 | Boletín de seguridad de Siemens: agosto de 2026 |
| 10/08 | Múltiples vulnerabilidades en CPDLC sobre ATN-B1 |
| 05/08 | Múltiples vulnerabilidades en IndustrialPI de Pilz |
| 03/08 | Ejecución remota de comandos en productos de Hikvision |
Un apunte de método antes de seguir: INCIBE-CERT no publica puntuación CVSS numérica en estos avisos, solo un nivel de criticidad de 1 a 5. Si necesitas el CVSS para priorizar internamente, hay que ir al aviso original del fabricante o de CISA. Desconfía de cualquier resumen que te dé un CVSS citando a INCIBE: no está ahí.
Los cuatro que tocan a plantas de aquí
PLCnext de Phoenix Contact — 13/08. Tres vulnerabilidades en versiones anteriores a la 2026.0.3, una de ellas crítica: CVE-2025-41769, un desbordamiento de búfer en PROFINET. Esta es la que más me llama la atención de todo el listado, porque PROFINET no es un servicio remoto que puedas cortar en el cortafuegos: es la red por la que habla la máquina consigo misma. La solución es firmware 2026.0.3 o posterior.
Productos de Schneider Electric — 12/08. Afecta a PowerChute Serial Shutdown hasta 1.5, NetBotz 5 750/755 hasta 5.5.2, Modicon M340 anterior a SV3.70 y varios módulos de la serie X80: BMXNOR0200H, BMXNGD0100, BMXNOC0401, BMXNOE0100 y BMXNOE0110. Criticidad alta. Cada uno con su versión de destino.
Si tienes M340 en planta —y hay muchos— esta es la que te va a dar trabajo, porque actualizar un procesador no es actualizar un PC.
Boletín de Siemens de agosto — 12/08. Criticidad 5, con veinte vulnerabilidades: dos críticas, quince altas y tres medias. Entre los productos afectados aparecen SIMATIC IoT2050 Advanced, Siveillance Video, Desigo DXR y PXC, LOGO! Soft Comfort, Solid Edge, Simcenter Femap, Parasolid, RUGGEDCOM APE1808 y el Siemens License Server. Las dos críticas confirmadas son CVE-2026-58115 y CVE-2026-3014.
Enterprise SCADA de AVEVA — 14/08. Deserialización de datos no confiables, CVE-2025-7639, criticidad alta. Afecta a un abanico ancho de versiones desde 2021 hasta 2025, y también a Enterprise SCADA HMI. Aquí hay un detalle que va más allá de actualizar: INCIBE recomienda que, después de actualizar, se deshabilite la serialización con Binary Formatter y se use solo JSON. Es decir, hay una acción de configuración además del parche.
Y una que no es de fabricante grande pero conviene mirar: Haiwell IoT Cloud HMI Gateway, criticidad crítica, inyección de comandos, CVE-2026-19188 en la versión 3.40.1.12. Es el tipo de pasarela barata que aparece en instalaciones pequeñas para «ver la máquina desde el móvil».
Qué cambia en planta
Nada de esto significa que vayan a entrar en tu fábrica esta noche. Lo que significa es más aburrido y más real: tienes una lista de firmwares desactualizados y no sabes cuáles.
Ese es el problema de verdad. Casi nadie tiene un inventario de qué versión de firmware corre cada PLC, cada pasarela y cada módulo de comunicaciones de la planta. Sin ese inventario, un aviso como estos no se puede ni evaluar: no sabes si te afecta.
Y hay una asimetría que conviene entender. Actualizar el SCADA se puede planificar un domingo. Actualizar el firmware de un procesador o de un módulo de comunicaciones significa parar la máquina, y a veces significa que la máquina no vuelve exactamente igual. Por eso estas actualizaciones se posponen, y por eso se acumulan durante años.
Qué haría esta semana
- Empezar por el inventario, no por el parche. Una hoja con marca, modelo, versión de firmware y fecha de la última actualización, para los equipos de comunicaciones y control. Sin eso, cada aviso es ruido.
- Suscribirte a INCIBE-CERT. Es gratis, es oficial, es en español y cubre lo mismo que CISA, que además bloquea el acceso automatizado. Diez minutos a la semana.
- Mirar primero lo que está expuesto: pasarelas IoT, accesos remotos, cualquier cosa con la palabra «cloud» en el nombre. La CPU que solo habla con su periferia dentro del armario tiene otra prioridad.
- Meter la ventana de actualización en la parada programada. Si esperas a que haya un hueco, no lo habrá. Y aprovecha para exigir al fabricante el procedimiento por escrito antes de tocar nada.
- Y lo básico, que sigue cubriendo más superficie que cualquier proyecto grande: segmentar la red de máquina, cerrar los accesos remotos abiertos y cambiar contraseñas por defecto.
Fuentes
- Avisos de seguridad de sistemas de control industrial — INCIBE-CERT. Listado de avisos del 3 al 14 de agosto de 2026, consultado el 20/08/2026.
- Avisos individuales enlazados en el texto: Phoenix Contact PLCnext (13/08) · Schneider Electric (12/08) · Siemens (12/08) · AVEVA Enterprise SCADA (14/08) · Haiwell (14/08).
- ICS Patch Tuesday: Vulnerabilities Fixed by Siemens, Schneider, Phoenix Contact — SecurityWeek, 12/08/2026, Eduard Kovacs.
Este artículo resume avisos públicos con el fin de que lleguen a quien tiene estos equipos en planta. No sustituye a la lectura del aviso original ni a las instrucciones del fabricante.
Ovi — SSERAC. Automatización industrial: programación de PLC, diseño eléctrico, redes industriales y puestas en marcha. Comunidad Valenciana y resto de España.
