CISA ha advertido sobre dos fallos críticos en PowerSYSTEM Center (con una puntuación CVSS de 9.0) que podrían permitir a usuarios autenticados acceder a recursos de administrador o ejecutar comandos de base de datos no autorizados. Estas vulnerabilidades afectan principalmente a los sectores de energía y fabricación a nivel mundial. La agencia publicó la advertencia ICSA-26-307-01 el 3 de noviembre de 2026, reconociendo el reporte de Chinmay Patel de Digital Boundary Group y Subnet Solutions.

CISA advirtió que dos fallos críticos en PowerSYSTEM Center (CVSS 9.0) podrían permitir que usuarios autenticados accedan a recursos de administrador o ejecuten comandos de base de datos no autorizados, afectando a los sectores de energía y manufactura en todo el mundo.

La agencia publicó la advertencia ICSA-26-307-01 el 3 de noviembre de 2026. CISA acreditó a Chinmay Patel de Digital Boundary Group y a Subnet Solutions por informar sobre las vulnerabilidades.

El proveedor canadiense ha proporcionado guías de actualización y medidas temporales para las organizaciones que no puedan actualizar inmediatamente los sistemas afectados.

El primer fallo, CVE-2026-63017, implica una autorización incorrecta, rastreada como CWE-863. Un usuario con permisos limitados puede acceder a recursos normalmente reservados para administradores. En términos sencillos, iniciar sesión con una cuenta básica no mantiene al usuario dentro de los límites de acceso previstos para esa cuenta.

CISA advierte sobre fallos críticos en PowerSYSTEM Center

El segundo fallo, CVE-2026-63774, es una vulnerabilidad de inyección SQL rastreada como CWE-89. Las comprobaciones de entrada insuficientes en el diseñador de informes permiten que un usuario autenticado ejecute comandos SQL no autorizados. El impacto revelado se refiere a comandos de base de datos, no a una ejecución confirmada de código del sistema operativo.

Ambos vectores CVSS describen una baja complejidad de ataque, privilegios bajos y que no requieren interacción del usuario. Especifican un vector de ataque adyacente en lugar de un acceso de red sin restricciones.

CISA afirma que estas vulnerabilidades no son explotables remotamente y que no se habían reportado explotaciones públicas conocidas cuando se publicó la advertencia.

El CVE-2026-63017 afecta a las versiones de PowerSYSTEM Center 2020 hasta la 5.29.x, versiones de PowerSYSTEM Center 2024 de la 6.0.x a la 6.2.x, y versiones de PowerSYSTEM Center 2026 de la 7.0.x a la 7.1.x. El CVE-2026-63774 afecta a los rangos enumerados de 2024 y 2026. La advertencia no incluye la rama 2020 como afectada por la inyección SQL.

Subnet Solutions recomienda la Actualización 30 de PowerSYSTEM Center 2020 para las instalaciones de 2020 afectadas. Las organizaciones que utilicen la rama 2024 deben actualizar a PowerSYSTEM Center 2026 Actualización 1.1. Las instalaciones existentes de 2026 también deben actualizar a la Actualización 1.1, según la advertencia legible por máquina de CISA.

Por lo tanto, es esencial que compruebes las versiones instaladas antes de planificar las actualizaciones. Cybersecurity News cubrió anteriormente la guía de inventario de activos OT de CISA, que explica cómo los registros precisos de dispositivos y software apoyan la gestión de vulnerabilidades en entornos industriales.

Para las organizaciones que no puedan actualizar, Subnet recomienda monitorizar los registros de actividad de los usuarios y restringir el acceso de los usuarios del Servidor de Acceso de Clientes a las Herramientas de Desarrollador F12 del navegador para reducir el riesgo relacionado con la autorización.

Para el problema de inyección SQL, el proveedor recomienda restringir el acceso de los usuarios al diseñador de informes. Estas son medidas provisionales, no sustitutos de las actualizaciones recomendadas.

CISA también aconseja mantener los sistemas de control fuera de la internet pública, colocándolos detrás de cortafuegos y separándolos de las redes empresariales.

Cuando el acceso remoto sea necesario, debes usar VPN actualizadas y evaluar los dispositivos conectados. La guía de conectividad OT segura relacionada explica el valor de una exposición limitada y conexiones controladas.

Antes de aplicar cambios, debes evaluar el impacto operativo y el riesgo. Debes seguir los procedimientos de respuesta internos ante cualquier sospecha de actividad maliciosa e informarlo a CISA.