La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha emitido una advertencia crítica sobre graves vulnerabilidades en los sistemas de jardines inteligentes Gardyn Home Kit. Con una puntuación máxima de gravedad de 9.3 sobre 10, estas fallas podrían permitir a atacantes no autenticados secuestrar dispositivos agrícolas inteligentes desde ubicaciones remotas por completo. 

La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) ha emitido una advertencia crítica sobre vulnerabilidades graves en los sistemas de jardinería inteligente Gardyn Home Kit.

Con una puntuación de gravedad máxima de 9.3 sobre 10, estas fallas podrían permitir a atacantes no autenticados secuestrar dispositivos agrícolas inteligentes desde ubicaciones remotas por completo.

Detalladas por primera vez en febrero de 2026 y actualizadas recientemente el 2 de abril de 2026, el aviso de CISA (ICSA-26-055-03) describe una peligrosa cadena de brechas de seguridad.

El investigador de seguridad Michael Groberman descubrió e informó inicialmente las vulnerabilidades a CISA.

Si se explotan, los atacantes podrían acceder a dispositivos edge, ver datos sensibles en la nube sin autenticación y moverse lateralmente a otros dispositivos dentro del mismo entorno en la nube de Gardyn.

Vulnerabilidades en los jardines inteligentes Gardyn

Los sistemas Gardyn afectados sufren una amplia gama de fallos de seguridad básicos pero críticos. Los problemas principales incluyen el uso de credenciales codificadas y predeterminadas, lo que facilita enormemente a los actores de amenazas adivinar o extraer detalles de inicio de sesión administrativos.

Además, el sistema transmite información sensible en texto claro, lo que significa que cualquiera que intercepte el tráfico de red puede leerla.

Fallas más complejas involucran inyección de comandos del sistema operativo y la falta de protocolos de autenticación para funciones críticas.

Esto permite a actores maliciosos eludir las comprobaciones de autorización estándar, manipular claves controladas por el usuario y explotar códigos de depuración activos dejados en el software.

En conjunto, estas vulnerabilidades, que abarcan múltiples CVE, incluyendo CVE-2025-1242, CVE-2025-10681 y varios CVE de 2026 recién añadidos, crean una vía directa para que los atacantes comprometan tanto los cultivos inteligentes físicos como la infraestructura en la nube más amplia.

Estas vulnerabilidades impactan gravemente a los dispositivos desplegados en los sectores de alimentación y agricultura de Estados Unidos.

Los componentes y versiones afectados específicos incluyen:

• Firmware de Gardyn Home y firmware de Gardyn Studio.
• Aplicación móvil Gardyn versiones anteriores a la 2.11.0.
• API en la nube de Gardyn versiones anteriores a la 2.12.2026 (vinculadas a múltiples fallos recientes, incluyendo CVE-2026-28766, CVE-2026-25197, CVE-2026-32646, CVE-2026-28767 y CVE-2026-32662).

Aunque CISA señala que actualmente no hay evidencia de que estas vulnerabilidades específicas estén siendo explotadas activamente, la alta puntuación CVSS hace que la aplicación inmediata de parches sea crítica para prevenir futuros ataques.

Medidas defensivas recomendadas por CISA

Para protegerse contra posibles tomas de control remotas, CISA insta firmemente a organizaciones y usuarios individuales a aplicar estrategias defensivas de inmediato.

Las acciones de mitigación recomendadas incluyen:

• Minimizar la exposición en la red asegurándote de que los dispositivos de control de jardines inteligentes nunca sean accesibles directamente desde internet público.
• Colocar redes de sistemas de control y dispositivos remotos de forma segura detrás de firewalls, aislándolos por completo de las redes empresariales o domésticas estándar.
• Usar métodos seguros, como redes privadas virtuales (VPN) actualizadas, si el acceso remoto es absolutamente necesario, teniendo en cuenta que una VPN es tan segura como los dispositivos a los que se conecta.
• Realizar un análisis exhaustivo de impacto y evaluación de riesgos antes de implementar nuevas medidas defensivas para evitar interrumpir las operaciones.

Se recomienda a los usuarios actualizar inmediatamente sus aplicaciones móviles e integraciones de API en la nube a las últimas versiones disponibles para proteger su infraestructura de jardinería inteligente contra estas amenazas remotas críticas.