El INCIBE-CERT ha publicado un aviso SCI sobre cuatro vulnerabilidades en EPICS Base, una crítica, que afectan a la versión 7.0.10 y anteriores.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso SCI por cuatro vulnerabilidades en EPICS Base, una crítica y tres altas.
- ¿Dónde y cuándo? Aviso fechado el miércoles 28 de octubre de 2026; afecta a instalaciones con EPICS Base 7.0.10 y anteriores.
- ¿Qué resultado? Cuatro CVE con posible ejecución remota de código sin autenticación, corregidos en la versión 7.0.11. Sin explotación conocida.
El documento, registrado como INCIBE-2026-796 y fechado el miércoles 28 de octubre, eleva a crítica una de las cuatro vulnerabilidades, valorada con un 5 sobre 5 en la escala de severidad del organismo, y califica las otras tres como altas. Los hallazgos proceden de Shubham Raj, investigador de Cipher / Causal Security, que los trasladó a CISA (la agencia de ciberseguridad de Estados Unidos) y que aparecen recogidos en el catálogo industrial ICSA-26-300-01. Ninguno de los cuatro CVE figura como explotado.
EPICS (Experimental Physics and Industrial Control System) es un conjunto de herramientas de código abierto con el que se construyen sistemas de control en instalaciones científicas, aceleradores de partículas y plantas industriales. Su despliegue típico combina servidores de control, controladores de proceso y estaciones de operación conectadas en red. EPICS Base es el núcleo sobre el que se apoyan el resto de módulos, de ahí que un fallo en esa capa alcance a toda la instalación que lo ejecute.
Cuatro CVE sin autenticación: del desbordamiento de enteros a la lectura de memoria
CVE-2026-114595 es el más grave. Un desbordamiento de enteros durante el procesamiento de solicitudes de red hace que el sistema reserve bloques de memoria con un tamaño incorrecto. El tratamiento posterior de datos manipulados abre la puerta a la corrupción de memoria, a la denegación de servicio y, en el escenario más desfavorable, a la ejecución remota de código. El atacante no necesita credenciales: le basta con alcanzar la interfaz de red del equipo afectado.
El segundo, CVE-2026-114596, se apoya en una validación incorrecta de longitudes durante el análisis del protocolo. El resultado es otro desbordamiento de enteros que desemboca en una escritura fuera de los límites del búfer asignado, con inestabilidad del servicio y caída del proceso de control como consecuencia directa.
Cuatro CVE en una sola actualización, una crítica y tres altas, sobre un componente que opera en entornos industriales donde la disponibilidad no es negociable.
CVE-2026-114597 completa el trío de severidad alta. La validación insuficiente de elementos o de longitudes de mensaje permite leer más allá del búfer reservado y expone memoria adyacente del proceso. Ese contenido puede incluir información sensible del sistema o servir de base para un exploit más elaborado.
El cuarto, CVE-2026-114598, es una confusión de tipos: el programa interpreta un dato como si fuera de otra naturaleza y realiza lecturas fuera de los límites por validación insuficiente. El efecto es doble, denegación de servicio y exposición de la memoria contigua, y comparte con los anteriores la característica que más preocupa a los operadores: se activa por red y sin autenticación previa.
De CISA al taller: la actualización a EPICS Base 7.0.11
La solución pasa por actualizar a EPICS Base 7.0.11. El fabricante, The EPICS Community, indica que debe emplearse el archivo base-7.0.11.tar.gz, porque los paquetes automáticos de código fuente que genera GitHub omiten los submódulos del proyecto y dejan la instalación incompleta.
Antes de desplegar en producción, el aviso pide revisar los módulos, las aplicaciones cliente y los IOC (Input/Output Controller, el proceso en tiempo real que ejecuta las bases de datos de EPICS), con atención especial a la compatibilidad con clientes Channel Access antiguos, el protocolo de comunicación clásico del sistema. Las indicaciones del fabricante prevalecen sobre cualquier atajo en la puesta al día.
El panorama de la ciberseguridad
EPICS Base no es un programa de oficina. Es la capa sobre la que se apoyan sistemas de control en entornos donde un reinicio no cuesta una reunión, cuesta producción. Que los cuatro fallos se activen por red y sin credenciales convierte un error de validación en una vía de entrada directa desde la red corporativa o desde cualquier conexión expuesta a Internet.
El trabajo del INCIBE-CERT se mide precisamente en avisos como este. El organismo traduce a lenguaje operativo los informes técnicos que los fabricantes remiten a CISA, asigna severidad, referencia los CVE y fija la versión corregida. El caso se inscribe en la serie anual de avisos industriales ICSA, un catálogo que se cuenta por centenares de documentos cada ejercicio y que en España llega a los operadores a través del aviso SCI, la vía con la que el CERT de referencia notifica fallos en sistemas de control industrial.
La proyección inmediata es de calendario de mantenimiento. No consta explotación de ninguno de los cuatro CVE, lo que no equivale a ausencia de riesgo: la ventana entre la publicación del aviso y la actualización efectiva es el periodo en el que los sistemas de control están más expuestos. La recomendación institucional pasa por inventariar los equipos con EPICS Base, verificar la versión en cada IOC y aplicar la 7.0.11 en la próxima parada programada. El aviso se actualizará si el fabricante o el CERT aportan nuevos datos sobre los cuatro fallos.
