El INCIBE-CERT ha alertado de dos vulnerabilidades en los routers industriales Moxa AIG-302 con firmware 1.4.0 y anteriores. Una de ellas es de severidad alta.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado un aviso SCI sobre dos vulnerabilidades en la serie de routers industriales Moxa AIG-302 con firmware 1.4.0 y anteriores.
- ¿Dónde y cuándo? Aviso publicado el viernes 16 de octubre de 2026 a las 09:37 horas, con el identificador INCIBE-2026-748.
- ¿Qué resultado? Dos fallos, uno de severidad alta (CVE-2026-109813) y otro de severidad media (CVE-2026-109812), sin explotación conocida. La corrección llega con el firmware 1.4.1.
Dos fallos, uno de severidad alta
El aviso se publicó el viernes 16 de octubre de 2026 a las 09:37 horas con el identificador INCIBE-2026-748. El investigador Ievgen Bondarenko ha informado de dos vulnerabilidades en la serie AIG-302: una de severidad alta y otra de severidad media. En caso de ser explotadas, podrían permitir el acceso a información confidencial, incluido material criptográfico, o comprometer la confidencialidad e integridad de las comunicaciones.
La más grave es CVE-2026-109813, clasificada con severidad alta. El fallo procede del uso de una clave criptográfica integrada en el componente /usr/bin/sysman del equipo. Un atacante no autenticado con acceso a la red adyacente podría obtener el material de la clave privada y, con ello, comprometer la confidencialidad e integridad de las comunicaciones que atraviesan el dispositivo. La explotación no exige credenciales válidas: basta con situarse en el mismo segmento de red que el router industrial.
El segundo fallo, CVE-2026-109812, se ha clasificado con severidad media. El aviso no detalla la descripción técnica completa de esta segunda vulnerabilidad. El fabricante, MOXA, mantiene el estado de explotación en «No» para ambos casos en el momento de la publicación.
El vector de ataque es sensible en entornos de control. La serie AIG-302 son routers industriales, una categoría de equipos que da servicio a redes de automatización y telemetría donde la segmentación no siempre se revisa con la frecuencia debida. Un acceso no autenticado desde ese segmento compromete la clave privada embebida y, con ella, el cifrado de todo el tráfico del entorno.
El INCIBE-CERT identifica el fallo, le asigna severidad alta y publica la versión 1.4.1 que lo corrige: el ciclo completo de respuesta ante una vulnerabilidad industrial.
El aviso no detalla el número de dispositivos afectados ni el volumen de instalaciones expuestas. La serie AIG-302 está afectada en sus versiones de firmware 1.4.0 y anteriores, por lo que el alcance real depende del parque instalado y del ritmo de actualización de cada operador.
Cómo actualizar los equipos a la versión 1.4.1
La solución pasa por actualizar el firmware de la serie AIG-302 a la versión 1.4.1. La actualización puede aplicarse desde la consola web del dispositivo, accediendo a Maintenance > Software Upgrades y seleccionando Check for upgrades. También puede descargarse desde la web oficial del producto o desde el servicio Moxa Software Release Service, según recoge el aviso publicado por el INCIBE-CERT.
Si no es posible aplicar la actualización, el aviso recomienda implementar las medidas generales de seguridad proporcionadas por Moxa. La indicación es relevante en seguridad OT: una ventana de mantenimiento mal planificada puede interrumpir procesos productivos críticos, de modo que la actualización se somete a validación previa y a una planificación estricta del cambio.
El panorama de la ciberseguridad
La vulnerabilidad afecta a routers industriales, un segmento donde confluyen conectividad, cifrado y gestión remota. Cualquier fallo en la gestión de claves trasciende al equipo afectado y alcanza a toda la red que lo atraviesa, de ahí que la severidad alta se asigne por el impacto potencial y no por la popularidad del producto. En el ámbito de las administraciones públicas y las infraestructuras críticas, el CCN-CERT mantiene su propio canal de avisos con criterios equivalentes.
El procedimiento desplegado en este caso sigue el estándar del catálogo SCI del INCIBE-CERT: identificador propio del aviso, referencia CVE para cada fallo, severidad, fabricante y estado de explotación. Esa ficha permite a los responsables de seguridad de una planta priorizar por riesgo real y no por titular. En esta ocasión la información llegó el viernes 16 de octubre de 2026 con la actualización ya disponible, la 1.4.1, lo que reduce de forma directa la ventana de exposición de los equipos.
El INCIBE-CERT no ha fijado por ahora una revisión del aviso, que mantiene la explotación en «No» según el fabricante. Los operadores que no puedan actualizar deben aplicar las medidas de Moxa y revisar la segmentación de la red adyacente, el vector que habilita el ataque. La vigilancia del catálogo SCI y de los boletines periódicos del INCIBE-CERT sigue siendo la vía más rápida para anticipar este tipo de fallos en componentes industriales y para cerrarlos antes de que exista una prueba de concepto pública.
