El INCIBE-CERT ha publicado el aviso INCIBE-2026-761 por una vulnerabilidad crítica en STARe Software de Mettler-Toledo que permite ejecutar código en remoto.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso de severidad crítica por un fallo en el intercambio DRDA previo a la autenticación de IBM Db2, integrado en STARe Software v20.00.
- ¿Dónde y cuándo? Aviso publicado el miércoles 21 de octubre de 2026 a las 08:10 horas, con divulgación coordinada entre Mettler-Toledo y VDE-CERT.
- ¿Qué resultado? Posible ejecución remota de código en sistemas con el componente afectado. La explotación no consta como activa y la solución pasa por actualizar a IBM Db2 12.1.4 Update 87349.
Un fallo en el intercambio DRDA anterior a la autenticación
El aviso, publicado el miércoles 21 de octubre de 2026 a las 08:10 horas, califica el riesgo con severidad 5, la máxima de la escala que emplea el organismo. El identificador asignado es CVE-2026-10109 y el origen del problema está en el tratamiento incorrecto del protocolo DRDA antes de la autenticación de IBM Db2. En términos operativos: el atacante no necesita credenciales válidas para intentar el ataque.
La consecuencia marca la diferencia entre un fallo molesto y un fallo crítico: ejecución remota de código. Un atacante con acceso a la red donde se ejecuta el componente afectado podría enviar peticiones manipuladas y lograr que el sistema ejecute instrucciones ajenas. El aviso recoge que la explotación no consta como activa en el momento de la publicación, lo que sitúa la ventana de riesgo en el tiempo que tarde cada instalación en actualizar.
Conviene detenerse en la sigla. DRDA (Distributed Relational Database Architecture) es el protocolo que permite a las aplicaciones distribuidas comunicarse con bases de datos Db2 a través de la red, y es la pieza que convierte la base de datos en un servicio accesible desde otros equipos. Que el fallo se produzca antes de la autenticación significa que el punto de entrada está en la fase más temprana de la conversación entre cliente y servidor, cuando el sistema todavía no ha verificado quién llama.
El componente afectado aparece identificado como IBM Db2 12.1.2 dentro de STARe Software v20.00. El aviso enumera además las versiones de Db2 afectadas: la horquilla 11.5.0–11.5.9 y la 12.1.0–12.1.4. El propio documento incluye la etiqueta de sistemas de control industrial, un ámbito donde la exposición en red de la instrumentación multiplica el impacto, porque el software no gestiona datos de oficina sino registros y procesos de laboratorio.
El INCIBE-CERT mantiene el aviso en severidad crítica y fija la mitigación en una actualización concreta, sin esperar a que aparezca explotación activa en internet.
La recomendación es inequívoca: actualizar el componente Db2 de STARe Software v20.00 a IBM Db2 12.1.4 Update 87349. El aviso no detalla medidas compensatorias distintas de la actualización. Mientras no se aplique, cada instalación con el componente afectado expuesto a la red mantiene abierta la puerta que el documento describe.
Actualización a Db2 12.1.4 Update 87349 y coordinación con VDE-CERT
La corrección llega del fabricante. Mettler-Toledo, en colaboración con VDE-CERT, ha publicado la vulnerabilidad y su remedio en el documento VDE-2026-112. Es el circuito habitual de la divulgación coordinada: el fabricante identifica el fallo, un CERT de referencia lo valida y publica, y el INCIBE-CERT lo recoge en su catálogo de avisos para que las organizaciones españolas afectadas lo localicen con rapidez.
Hay un matiz técnico que conviene no pasar por alto. El aviso señala como solución la versión IBM Db2 12.1.4 Update 87349 mientras enumera la horquilla 12.1.0–12.1.4 entre las afectadas. La lectura correcta es que el remedio no es el número 12.1.4 en abstracto, sino ese build concreto: una instalación en 12.1.4 sin el Update 87349 no está resuelta. La verificación debe hacerse sobre el nivel de conpilación exacto, no sobre la etiqueta comercial.
Cuando un fallo de esta naturaleza deriva en un incidente con víctimas —acceso no autorizado, exfiltración o sabotaje— la respuesta deja de ser técnica y pasa a ser policial. La Policía Nacional, a través de la Brigada de Investigación Tecnológica (BIT), y la Guardia Civil, mediante el Grupo de Delitos Telemáticos (GDT), mantienen la competencia sobre la cibercriminalidad, con el CITCO como órgano de coordinación de la inteligencia policial. El aviso del INCIBE-CERT es la primera pieza de esa cadena: la que permite cerrar la puerta antes de que alguien la cruce.
El panorama de la ciberseguridad
Los sistemas de control industrial han dejado de ser un terreno aislado. La instrumentación de laboratorio, los equipos de análisis y las plataformas que gestionan sus datos viven conectadas a la red corporativa y, con frecuencia, a internet. Ese salto de conectividad ha traído eficiencia y también una superficie de ataque nueva, en la que un componente de base de datos aparentemente secundario se convierte en la puerta principal. El nivel 5 de severidad no es una etiqueta frecuente en el catálogo del INCIBE-CERT.
Los balances anuales del INCIBE constatan un crecimiento sostenido de los incidentes gestionados, con la pyme y la ciudadanía como principales destinatarios de los servicios de respuesta. Los datos de cibercriminalidad del Ministerio del Interior confirman la misma tendencia: los delitos informáticos figuran entre los que más crecen en España. En ese escenario, una actualización pendiente en una herramienta de laboratorio no es un detalle administrativo, sino superficie de ataque sin cubrir.
La proyección es sencilla de enunciar y difícil de ejecutar. El aviso permanecerá en el catálogo hasta que las instalaciones afectadas se actualicen y el fabricante confirme la corrección, y el INCIBE-CERT lo revisará si aparece nueva información sobre explotación. La tarea inmediata para cualquier organización que use STARe v20.00 es inventariar los equipos con Db2 12.1.2 o con alguna de las versiones afectadas, comprobar el nivel de compilación y aplicar el Update 87349. Y hacerlo antes de que la explotación de CVE-2026-10109 deje de figurar como no activa, porque ese cambio de estado, cuando llega, no avisa.
