El INCIBE-CERT ha publicado este jueves un aviso SCI por una vulnerabilidad crítica en Keycloak. El fallo afecta a Building Cloud Services de WAGO y permite a un atacante sin autenticar restablecer contraseñas sin completar la verificación por correo electrónico.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso SCI por una vulnerabilidad crítica en Keycloak que afecta a Building Cloud Services de WAGO.
- ¿Dónde y cuándo? Aviso publicado el jueves 5 de noviembre de 2026; la corrección del fabricante se aplicó el 26 de agosto de 2026 en la versión 7.36.156.
- ¿Qué resultado? Un atacante sin autenticar podía restablecer contraseñas sin verificar el correo y tomar el control de cuentas. Severidad 5 – Crítica, sin explotación conocida.
El aviso se publicó a las 09:24 horas del jueves 5 de noviembre de 2026 en el catálogo de alerta temprana de seguridad industrial del INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, el organismo público que gestiona la ciberseguridad de empresas y ciudadanos en España. La ficha, con identificador INCIBE-2026-839, recoge una vulnerabilidad notificada por el investigador James Paremain que WAGO ha publicado en coordinación con CERT@VDE, el centro de respuesta del sector de automatización industrial.
El fallo: un enlace de verificación que se puede saltar
El defecto está catalogado como CVE-2026-18963 y afecta al flujo de restablecimiento de credenciales de keycloak-services. El mecanismo de recuperación de contraseñas es débil: un atacante puede omitir el enlace de verificación que se envía por correo electrónico y establecer nuevas credenciales sobre otra cuenta, sin conocer la contraseña anterior ni autenticarse previamente en el sistema.
La consecuencia práctica es una toma de control de cuenta. Una vez fijada la nueva contraseña, el intruso accede a los recursos disponibles con los permisos del usuario afectado, tal y como recoge el aviso sobre Building Cloud Services. La ficha oficial no detalla requisitos técnicos adicionales para la explotación, más allá del aprovechamiento del flujo de recuperación que expone la plataforma de gestión en la nube del fabricante alemán de automatización.
Las versiones afectadas son todas las comprendidas entre la 7.19 y las anteriores a la 7.36.156. INCIBE-CERT asigna al fallo la máxima calificación de su escala, 5 – Crítica, la reservada a los defectos que permiten comprometer la confidencialidad, integridad o disponibilidad de un sistema sin credenciales válidas. El aviso marca la explotación como «No», es decir, sin pruebas públicas de aprovechamiento activo en el momento de la publicación.
La gravedad es máxima: un atacante sin autenticar podía fijar una contraseña nueva en otra cuenta y operar con los permisos de la víctima.
Corrección centralizada y revisión de la actividad previa
WAGO aplicó la corrección el 26 de agosto de 2026 con la publicación de la versión 7.36.156. Building Cloud Services se gestiona y actualiza de forma centralizada, de modo que los clientes no necesitan instalar ninguna actualización en sus entornos. La plataforma es un servicio en la nube, no un producto que el usuario deba parchear en local.
El aviso, sin embargo, no cierra el asunto con la actualización. INCIBE-CERT recomienda revisar la actividad de las cuentas y comprobar si se produjeron cambios de contraseña inesperados con anterioridad a la corrección, siguiendo las recomendaciones publicadas por el propio fabricante. Cualquier restablecimiento no reconocido dentro de esa ventana temporal debe tratarse como un indicio a verificar por el equipo de seguridad de la instalación.
La ficha completa, con el listado de referencias técnicas, está disponible en el catálogo público del INCIBE-CERT a través de la página del aviso. El documento remite a la nota de WAGO sobre el acceso no autorizado a cuentas mediante el proceso de recuperación de credenciales.
El panorama de la ciberseguridad
La vulnerabilidad encaja en una tendencia sostenida: la exposición de los sistemas de control industrial conectados a la nube. Keycloak, gestor de identidades de código abierto ampliamente desplegado, concentra los flujos de autenticación de plataformas como Building Cloud Services, de modo que cualquier debilidad en el restablecimiento de contraseñas se convierte en una puerta de entrada directa a la cuenta. En un entorno industrial, el acceso con los permisos de un usuario legítimo resulta más valioso que el acceso anónimo: permite leer configuraciones, alterar parámetros y mantener la actividad dentro de los umbrales que el sistema considera normales.
La respuesta institucional ha sido rápida y coordinada en tres niveles: el fabricante, el CERT sectorial y el equipo nacional, que publica la ficha con identificador propio y seguimiento CVE. Ese circuito, que en España canaliza también el CCN-CERT para infraestructuras críticas y administraciones públicas, es el que permite que una corrección aplicada el 26 de agosto llegue documentada al usuario final con instrucciones concretas de verificación. El aviso clasifica la explotación como no conocida, un dato que reduce la urgencia operativa pero no la obligación de revisar registros de acceso.
El fallo permanece en el catálogo público con su severidad crítica y sin fecha de cierre. La recomendación es doble: verificar el histórico de cambios de contraseña anteriores al 26 de agosto y mantener el seguimiento de las alertas SCI del INCIBE-CERT, que se actualizan con cada nueva revisión del fabricante. En paralelo, WAGO mantiene abierta la referencia técnica sobre el acceso no autorizado a cuentas a través del proceso de recuperación de credenciales.
