El INCIBE-CERT ha publicado este martes 13 de octubre de 2026 un aviso de severidad alta por dos vulnerabilidades en productos de Schneider Electric.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT, el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, ha emitido un aviso de severidad alta por dos vulnerabilidades en equipos industriales de Schneider Electric.
- ¿Dónde y cuándo? Aviso publicado el martes 13 de octubre de 2026 a las 09:38 horas, con el identificador INCIBE-2026-729.
- ¿Qué resultado? Afectados los modelos SAGE RTU en versiones anteriores a C3414-500-S02L0 y los paneles Pro-face STW6000 y Harmony STW6 en todas sus versiones. No consta explotación.
El aviso se publica en la categoría de sistemas de control industrial del INCIBE-CERT, el equipo de respuesta ante incidentes de ciberseguridad que el Instituto Nacional de Ciberseguridad (INCIBE) pone al servicio de empresas y ciudadanos. Identificado como INCIBE-2026-729, el documento se emitió a las 09:38 horas y afecta a las unidades terminales remotas (RTU) SAGE y a los paneles HMI Pro-face STW6000 y Harmony STW6.
Ambas vulnerabilidades están clasificadas en el nivel 4 de severidad alta y, en caso de ser explotadas, permitirían controlar los dispositivos sin autorización, provocar fallos operativos o instalar firmware manipulado para modificar el comportamiendo de los equipos. El listado de recursos afectados incluye las SAGE RTU 1410, 1430, 1450, 2400, 3030 Magnum y 4400 en versiones anteriores a C3414-500-S02L0, así como los paneles Pro-face STW6000 y Harmony STW6 en todas sus versiones.
La primera de las vulnerabilidades, registrada como CVE-2026-96434, tiene su origen en el uso de componentes de terceros sin mantenimiento en los paneles HMI. Según el detalle técnico del aviso, un atacante podría aprovecharla cuando un usuario accede a páginas web maliciosas desde el navegador del propio dispositivo, lo que le permitiría obtener control no autorizado del equipo y provocar fallos operativos en la instalación.
La segunda, CVE-2026-102250, es un fallo de verificación insuficiente de la autenticidad del firmware en los productos SAGE RTU. Un usuario con privilegios de administrador podría cargar firmware modificado durante una actualización y alterar el funcionamiento del dispositivo.
Ninguna de las dos vulnerabilidades ha sido explotada hasta la fecha, según el aviso del INCIBE-CERT, que ya ha publicado las medidas de mitigación indicadas por el fabricante.
Dos vulnerabilidades que permiten tomar el control de los equipos industriales
Los fallos han sido detectados por investigadores del programa CyTRICS del Departamento de Energía de Estados Unidos y del Lawrence Livermore National Laboratory, junto a Sandia National Laboratories, mientras que la otra vulnerabilidad fue identificada internamente por Schneider Electric. El aviso no detalla el número de dispositivos afectados ni la cifra de instalaciones que podrían estar expuestas, aunque el fabricante sí concreta con precisión los modelos y las versiones comprometidas.
Las RTU y los paneles HMI son los componentes que enlazan el software de supervisión con la maquinaria física: gobiernan válvulas, bombas, motores y sistemas de medida en redes eléctricas, plantas de tratamiento de agua, instalaciones de gas o líneas de producción. Por ese motivo, una vulnerabilidad explotable en estos equipos no se mide en datos robados, sino en la capacidad de detener o alterar un proceso industrial completo.
Actualización de firmware en las RTU SAGE y contención en los paneles Pro-face
Para los productos SAGE RTU, Schneider Electric ha publicado el firmware correctivo C3414-500-S02L0. El aviso del INCIBE-CERT precisa que, tras la actualización, es necesario reiniciar el dispositivo y comprobar la versión instalada desde la página de configuración de la CPU.
En el caso de Pro-face STW6000 y Harmony STW6 no existe todavía una actualización. El fabricante recomienda utilizar los paneles HMI únicamente en entornos protegidos y sin acceso desde internet o desde redes no confiables, configurar solo sitios web locales de confianza para la navegación desde el dispositivo, segmentar la red e instalar un cortafuegos que bloquee los accesos no autorizados, restringir el uso de dispositivos de almacenamiento portátiles no verificados y limitar la configuración a administradores de confianza y usuarios autenticados.
El panorama de la ciberseguridad
La ciberseguridad industrial es hoy uno de los frentes de mayor exigencia técnica, porque estos equipos combinan ciclos de vida muy largos, actualizaciones poco frecuentes y una exposición creciente a redes corporativas e internet. Por ese motivo, el INCIBE-CERT mantiene una categoría específica de avisos para sistemas de control industrial (SCI), en la que se encuadra este comunicado.
El aviso se ha elaborado con la información de dos laboratorios nacionales de Estados Unidos y del propio fabricante, y se apoya en las referencias técnicas SEVD-2026-286-01 y SEVD-2026-286-02 publicadas por Schneider Electric. El INCIBE-CERT mantiene así la trazabilidad completa del incidente: identificadores CVE, productos y versiones afectadas y medidas de mitigación verificables.
En el ámbito de las administraciones públicas y las infraestructuras críticas, la coordinación frente a este tipo de amenazas corresponde al CCN-CERT, el equipo de respuesta ante incidentes del Centro Criptológico Nacional. Ninguna de las dos vulnerabilidades consta como explotada hasta la fecha, y el fabricante trabaja en una actualización para los paneles HMI afectados.
Mientras esa actualización llega, la recomendación oficial pasa por la segmentación de red y la restricción de accesos: medidas que reducen la superficie expuesta y que, en los entornos industriales, resultan tan determinantes como el propio parche. El aviso del INCIBE-CERT permanece publicado con todos sus identificadores y con la ficha técnica de cada fallo, disponible para empresas y operadores de infraestructuras a través del portal del Instituto Nacional de Ciberseguridad.
