El Instituto Nacional de Ciberseguridad (INCIBE) ha publicado este lunes 27 de julio de 2026 una alerta temprana ante una vulnerabilidad de severidad alta en el kernel de Linux de múltiples productos industriales de Moxa. Identificada como CVE-2026-46333 y bautizada como ssh-keysign-pwn, la fallo permite a un atacante con acceso a una cuenta local elevar privilegios hasta obtener acceso root, pudiendo leer información sensible y ejecutar comandos con los máximos permisos del sistema.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE ha emitido una alerta por la vulnerabilidad CVE-2026-46333 en Moxa Industrial Linux, que permite escalada local de privilegios a root.
- ¿Dónde y cuándo? Afecta a los productos Moxa de las series UC, V, VM, ioThinx 4530, AIG, BXP, DRP y RKP a nivel mundial. El aviso se publicó el 27 de julio de 2026.
- ¿Qué resultado? La explotación del fallo puede derivar en un acceso completo al sistema. Moxa ha publicado parches para las ramas MIL3, MIL4 y Debian, pero los dispositivos con MIL1 aún no tienen actualización disponible.
Detalles de la vulnerabilidad CVE-2026-46333
La raíz del problema se encuentra en la gestión inapropiada de privilegios dentro del kernel de Linux, específicamente en el manejo del atributo dumpable durante ciertas operaciones relacionadas con ptrace. Esta debilidad, conocida como ssh-keysign-pwn, facilita que un usuario local malintencionado pueda burlar los mecanismos de protección y obtener privilegios de administrador. El INCIBE clasifica la amenaza con un nivel 4 – Alta y recomienda actuar con celeridad.
Los productos comprometidos abarcan una amplia gama de dispositivos industriales que ejecutan Moxa Industrial Linux (MIL) o distribuciones Debian suministradas por el fabricante. En concreto, las series UC, V, VM, ioThinx 4530, AIG, BXP, DRP y RKP son las señaladas. Dado que las versiones de firmware afectadas varían según la línea, el INCIBE remite al aviso oficial de Moxa para verificar la versión exacta de cada equipo.
Medidas de mitigación y actualización del fabricante
Moxa ha reaccionado publicando actualizaciones de firmware para los productos basados en MIL3, MIL4 y en las plataformas Debian afectadas. La aplicación de estos parches es la solución definitiva y se insta a los administradores de sistemas a programar su despliegue sin demora. El INCIBE enfatiza que, al tratarse de entornos industriales que a menudo operan infraestructuras críticas, la ventana de exposición debe minimizarse.
Para los dispositivos que todavía funcionan con MIL1, el fabricante reconoce que las actualizaciones de firmware aún no están disponibles. Como medida temporal, se recomienda eliminar los permisos SUID del binario ssh-keysign y los permisos SGID de chage, y consolidar estos cambios mediante dpkg-statoverride para que persistan tras reinicios. Moxa asegura que trabajará en una corrección permanente para esta generación de equipos.
Esta vulnerabilidad confirma que los ataques a sistemas industriales conectados están alcanzando un nivel de sofisticación que exige una vigilancia y parcheado tan riguroso como en cualquier sistema corporativo tradicional.
El panorama de la ciberseguridad industrial
La alerta del INCIBE se produce en un momento de crecimiento acelerado de las amenazas contra el sector industrial. Según datos del propio organismo, en 2025 se gestionaron más de 130.000 incidentes de ciberseguridad, un 24 % más que el año anterior, y las vulnerabilidades en entornos IIoT representaron un 35 % del total. La rápida publicación de este aviso, a las pocas horas de que Moxa hiciera público el fallo, demuestra la capacidad de anticipación del centro de respuesta.
El INCIBE, a través de su equipo INCIBE-CERT, mantiene una monitorización continua de las amenazas emergentes. La coordinación con fabricantes y la difusión temprana de soluciones de mitigación son clave para proteger un ecosistema industrial cada vez más conectado y dependiente de protocolos Linux. La vulnerabilidad ssh-keysign-pwn recuerda que incluso un fallo local puede tener un impacto devastador si no se contiene a tiempo, y que la cultura de la ciberseguridad debe permear todos los niveles operativos.
