Una vulnerabilidad crítica recientemente descubierta en el ampliamente utilizado software PX4 Autopilot podría permitir a actores maliciosos tomar el control total de las operaciones de drones. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicó un aviso sobre Sistemas de Control Industrial (ICS) el 31 de marzo de 2026, alertando a los operadores sobre esta grave falla.

Una vulnerabilidad crítica recién descubierta en el ampliamente utilizado software PX4 Autopilot podría permitir a actores maliciosos tomar el control total de las operaciones de drones.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) publicó un aviso de Sistemas de Control Industrial (ICS) el 31 de marzo de 2026, alertando a los operadores sobre esta grave falla.

El proyecto PX4 Autopilot, con sede en Suiza, proporciona software de control de vuelo de código abierto para drones y vehículos autónomos desplegados en todo el mundo.

Debido a su masiva adopción, esta vulnerabilidad representa una amenaza directa para la infraestructura crítica, especialmente en los sectores de Sistemas de Transporte, Servicios de Emergencia y Base Industrial de Defensa.

Vulnerabilidad en PX4 Autopilot

Registrada como CVE-2026-1579, esta falla de seguridad tiene una puntuación CVSS v3 de 9.8, clasificándola como crítica. El problema principal radica en la ausencia de un mecanismo de autenticación para una función crítica.

Si un atacante logra acceder a la interfaz MAVLink del dron, el protocolo de comunicación principal utilizado para transmitir comandos y telemetría, puede explotar esta debilidad para eludir los controles de seguridad.

Una vez conectado, el atacante puede ejecutar comandos de shell arbitrarios sin necesidad de autenticación criptográfica.

En términos simples, un usuario no autenticado puede ejecutar cualquier comando del sistema que elija directamente en el  sistema operativo del dron.

Esto les otorga el poder de alterar rutas de vuelo, forzar caídas, interceptar datos o bloquear por completo a los operadores legítimos del sistema.

La versión específica actualmente conocida como afectada es PX4 Autopilot v1.16.0_SITL_latest_stable. El investigador de seguridad Dolev Aviv de Cyviation fue quien descubrió y reportó esta vulnerabilidad a CISA.

Afortunadamente, CISA señala que actualmente no hay explotación pública conocida de esta falla en la naturaleza.

Para proteger las flotas de drones e infraestructuras, CISA recomienda que las organizaciones tomen medidas defensivas inmediatas:

• Minimiza la exposición de red de todos los dispositivos de sistemas de control para asegurarte de que nunca sean accesibles directamente desde internet.
• Ubica las redes de sistemas de control y dispositivos remotos detrás de firewalls estrictos, aislándolos por completo de las redes corporativas.
• Exige el uso de Redes Privadas Virtuales (VPN) seguras y actualizadas siempre que se requiera acceso remoto a los sistemas de control de drones.
• Realiza una evaluación de riesgos adecuada antes de implementar nuevas medidas defensivas para evitar interrupciones operativas.

Dado que los atacantes suelen usar phishing para obtener acceso inicial a las redes, CISA también aconseja a las organizaciones capacitar a su personal para resistir ataques de ingeniería social.

Los operadores deben monitorear continuamente las alertas de CISA y aplicar los parches oficiales del proveedor tan pronto como estén disponibles para proteger sus flotas autónomas.