El INCIBE-CERT ha publicado un aviso de severidad crítica por dos vulnerabilidades en PowerSYSTEM Center, la plataforma industrial de Subnet Solutions.
El aviso SCI, registrado con el identificador INCIBE-2026-829 y fechado este miércoles 4 de noviembre a las 09:25 horas, recoge dos fallos catalogados con la máxima calificación: severidad 5 sobre 5. Los reporta Chinmay Patel, de la firma Digital Boundary Group, y la comunicación llega acompañada de la referencia ICSA-26-307-01 del fabricante. El SCI (Sistemas de Control Industrial) designa el software que gobierna plantas y procesos físicos, no herramientas de oficina.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT alerta de dos vulnerabilidades críticas en PowerSYSTEM Center, de Subnet Solutions, con ejecución de consultas SQL y escalada de permisos como riesgos principales.
- ¿Dónde y cuándo? Aviso publicado el 4 de noviembre de 2026 a las 09:25 horas, con alcance a las ramas 2020, 2024 y 2026 del producto.
- ¿Qué resultado? Parche disponible para las tres generaciones y sin explotación conocida, según la ficha del fabricante.
Control de accesos y consultas SQL: los dos fallos críticos
El primero de los CVE, CVE-2026-63017, es un fallo de autorización. Un usuario autenticado con pocos privilegios puede alcanzar recursos que la plataforma reserva a los administradores, lo que rompe la separación de funciones sobre la que se apoya la operación supervisada de una instalación industrial.
El segundo, CVE-2026-63774, es un defecto de validación de entradas en el diseñador de informes que habilita la ejecución de comandos SQL no autorizados. Ambos comparten una condición de explotación precisa: el atacante necesita acceso desde una red adyacente. No se entra desde internet de forma directa, pero sí desde cualquier equipo comprometido en el mismo segmento de red.
Tres generaciones afectadas y una ruta de actualización disponible
El alcance cubre toda la línea viva del producto. PowerSYSTEM Center 2020, en versiones 5.29.x y anteriores, presenta CVE-2026-63017. Las ramas 2024, de la 6.0.x a la 6.2.x, y 2026, de la 7.0.x a la 7.1.x, acumulan los dos fallos. En total, dos CVE sobre tres generaciones que obligan a revisar inventario antes de dar por cubierta una instalación.
La corrección está disponible. Para la rama 2020, el fabricante indica instalar el Update 30. Para 2024 y 2026, la actualización de referencia es PowerSYSTEM Center 2026 Update 1.1. Si no es posible actualizar de inmediato, el aviso fija una contención concreta: supervisar la actividad de los usuarios y deshabilitar su acceso al diseñador de informes, que es justo la superficie que explota el segundo CVE.
Ninguna de las dos vulnerabilidades consta como explotada, según el fabricante, lo que da margen a los operadores para actualizar con orden.
El campo de explotación figura como «No» en las fichas de ambas vulnerabilidades. Es el dato que más pesa en las primeras horas de un aviso SCI: mientras no circule código de explotación ni haya indicios de ataque, la ventana de parcheo es utilizable y la actualización puede planificarse en lugar de improvisarse.
El aviso clasifica el producto en el sector energía y en la categoría de sistemas de control industrial. Esa etiqueta importa: en un entorno industrial, un fallo de permisos no se queda en una pantalla y puede traducirse en consecuencias físicas sobre el proceso. Por eso la severidad 5 sobre 5 no admite lectura tibia.
El panorama de la ciberseguridad
Los avisos SCI de INCIBE-CERT son la pieza de alerta temprana del organismo para el tejido industrial. Su función es que un operador de planta sepa, en cuestión de horas, si el software que gobierna su instalación tiene un agujero conocido y si existe parche. El identificador INCIBE-2026-829 lo sitúa en el catálogo continuo que el organismo publica a lo largo del ejercicio, con severidad 5 sobre 5, el techo de su escala, y con la explotación marcada como «No» según la ficha del fabricante.
El patrón es el habitual en la ciberseguridad industrial: fallos de control de permisos y de validación de entradas, dos familias clásicas, en productos con ciclos de vida largos donde actualizar cuesta más que en el software corporativo. La propia medida de contención del aviso admite que hay instalaciones que no podrán parchear de inmediato.
La ventana de exposición se mide en días. El equipo de INCIBE-CERT mantiene el aviso abierto y lo actualiza cuando el fabricante publica correcciones o cuando aparece actividad de explotación reseñable. Para los responsables de planta, la secuencia es la que marca el aviso: identificar la versión, aplicar el Update correspondiente y, mientras tanto, cerrar el acceso al módulo de informes a los perfiles que no lo necesiten.
Los detalles completos, con las tablas de versiones y los identificadores CVE, estan disponibles en el aviso publicado por INCIBE-CERT, y el marco general de respuesta a incidentes industriales puede consultarse en el CCN-CERT.
