La versión resumida
El 12 de noviembre de 2026, CISA republicó cinco avisos de Siemens, ICSA-26-316-01 al -05. Todos se remontan a dos fallos en bibliotecas de código abierto. El primero es CVE-2026-111497, una escritura fuera de límites (out-of-bounds write) en el decodificador Google Brotli que Siemens denomina Node2Shell (CVSS v3.1 9.8). El segundo es un par de fallos de uso después de liberación (use-after-free) en PHP, CVE-2026-109618 (9.8) y CVE-2026-109619 (8.1), que Siemens denomina PHP2Shell. Los tres permiten ejecución remota de código sin autenticación, y los tres figuran en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
Las dos bibliotecas afectan a una amplia gama de productos Siemens: los sistemas de gestión de energía Spectrum Power, la automatización de edificios Desigo CC, Gridscale X, las aplicaciones Industrial Edge y el RUGGEDCOM APE1808, la plataforma reforzada que ejecuta un cortafuegos Palo Alto Networks PAN-OS dentro de la planta. Varios productos no tienen corrección disponible, y uno no tiene corrección prevista.
En esos servidores, la medida de control es decidir quién puede llegar a ellos. Sáquelos de la red plana, permita el acceso solo a usuarios identificados en los puertos que necesitan y registre las sesiones hasta que Siemens publique una corrección.
Lo que dicen los avisos
Cada aviso de CISA republica un aviso de Siemens ProductCERT (SSA) publicado originalmente entre el 23 y el 30 de octubre de 2026.
| Aviso | SSA de Siemens | Productos | CVE | CVSS v3.1 | Estado de la corrección |
|---|---|---|---|---|---|
| ICSA-26-316-01 | SSA-166980 | Spectrum Power 3, 4, 7, TG; Energy Engage; AMIS TS; blueplanet; bt-monitoring-vm | CVE-2026-109618, CVE-2026-109619 | 9.8, 8.1 | Mixto. Sin corrección para AMIS TS, blueplanet y Spectrum Power 4. Sin corrección prevista para Energy Engage V2.0SP9 |
| ICSA-26-316-02 | SSA-045512 | Desigo CC V8 y V9, Gridscale X DSA, Gridscale X PSS®E | CVE-2026-111497 | 9.8 | Correcciones disponibles |
| ICSA-26-316-03 | SSA-443410 | Aplicaciones Industrial Edge Management y Device | CVE-2026-111497 | 9.8 | Mayormente corregido. Sin corrección para Common Configurator en IEM y en Device |
| ICSA-26-316-04 | SSA-898633 | RUGGEDCOM APE1808 con PAN-OS | CVE-2026-111497 | 9.8 | Actualizar a la versión de PAN-OS correspondiente |
| ICSA-26-316-05 | SSA-566512 | RUGGEDCOM APE1808 con PAN-OS 10.2, 11.1, 11.2, 12.1, 12.2 | CVE-2026-109618, CVE-2026-109619 | 9.8, 8.1 | Actualizar a la versión de PAN-OS correspondiente |
Siemens también indica puntuaciones CVSS v4.0 de 9.2 para estos CVE en sus propios avisos.
Los productos PHP en ICSA-26-316-01, producto por producto:
| Producto | Estado de la corrección, según el aviso |
|---|---|
| AMIS TS | Sin corrección disponible |
| blueplanet 360 NX3 M6 WM OD IISX e IISX - S | Sin corrección disponible |
| Spectrum Power 4 con Nagios o Zabbix, Web Office Portal V3.0 a V3.2, o HISViews V1.0 | Sin corrección disponible |
| Energy Engage V2.0SP9 | Sin corrección prevista |
| Energy Engage V3.1SP1 | Actualizar PHP a V8.1.34 release 6 |
| Local Monitoring bt-monitoring-vm | Actualizar a V20261103 o posterior |
| Spectrum Power 3, monitorización NagiosXI en RHEL 7, solo CVE-2026-109619 | Parche PHP de Red Hat para RHEL 7 |
| Spectrum Power 7, monitorización NagiosXI | Parche PHP de Red Hat para RHEL 8 y 9 |
| Spectrum Power TG, WebConsole y WebQuery en Windows | Actualizar PHP a V8.5.12 |
Las correcciones de Brotli en ICSA-26-316-02 y -03. Desigo CC V8 y V9 se corrigen instalando las últimas actualizaciones de seguridad de .NET a través de Windows Update. Gridscale X DSA pasa a V5.4 y Gridscale X PSS®E a V36.8.0. En Industrial Edge, Cloud Connector Configurator pasa a V1.24.3, Data Flow Monitoring a V3.0.18, Databus Configurator a V4.0.1, DataXess Configurator a V1.5.7, Edge OPC UA Server Configurator a V2.3.10 y Flow Creator Configurator a V1.15.1. Siemens corrigió Industrial Edge Hub e Industrial Edge Management Cloud por su parte, sin que el usuario deba realizar ninguna acción.
Common Configurator no tiene corrección. Para Common Configurator en IEM, Siemens recomienda desinstalar todas las aplicaciones de gestión y proteger la instancia IEM con un cortafuegos o WAF. Para Common Configurator en Device, recomienda detener la aplicación. Si no hay aplicaciones de gestión instaladas, Siemens señala que no se requiere ninguna acción, porque la biblioteca Brotli está presente pero no se utiliza. Ya tratamos un fallo anterior de IEM, sin relación con este, en la entrada sobre el restablecimiento de contraseña de Industrial Edge Management.
Sectores. CISA clasifica ICSA-26-316-01 en Energía; -02 en Fabricación Crítica, Energía y Tecnología de la Información; y -03, -04 y -05 en Fabricación Crítica. Todos están desplegados en todo el mundo.
Estado de la explotación
Las dos bibliotecas recibieron parches en origen a finales de octubre. PHP publicó 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 21 de octubre de 2026, y CISA emitió una alerta el mismo día instando a aplicar los parches de inmediato. La corrección de Brotli está en 1.0.10, 1.1.1 y 1.2.1, según los avisos.
CISA añadió CVE-2026-109618 y CVE-2026-109619 al KEV el 26 de octubre de 2026, y CVE-2026-111497 el 27 de octubre de 2026. El catálogo estaba en la versión 2026.11.10 cuando lo consultamos el 12 de noviembre.
Palo Alto Networks informa de explotación activa de los fallos PHP contra interfaces de gestión de PAN-OS expuestas a internet. Indica que no tiene constancia de explotación maliciosa del fallo Brotli en sus productos. Ninguno de los cinco avisos de Siemens informa de explotación en un producto Siemens.
Cómo los fallos alcanzan una red OT
PHP2Shell es un problema de servidor web. Los fallos residen en cómo PHP gestiona una solicitud que agota la memoria y en el estado que persiste de una solicitud a la siguiente. El aviso de PHP para CVE-2026-109618 confirma que Apache mod_php es explotable a través de HTTP con la configuración predeterminada. En los productos Siemens, PHP sirve las interfaces web: consolas de monitorización basadas en NagiosXI o Zabbix, el Web Office Portal de Spectrum Power 4, y la interfaz de gestión y la XML API de PAN-OS. Cualquiera que pueda enviar solicitudes HTTP a esas páginas puede intentar la explotación.
Node2Shell es un problema de descompresión. Cualquier servicio que decodifique un flujo Brotli de un origen no fiable puede recibir un flujo manipulado. En el APE1808, Palo Alto indica que la exposición es más limitada: solo los cortafuegos que inspeccionan tráfico Brotli con descifrado TLS en el plano de datos están expuestos; la interfaz de gestión no se ve afectada, y PAN-OS 10.2 y 11.1 no están afectados. La codificación Brotli está desactivada por defecto en PAN-OS 11.2.4 y versiones posteriores, por lo que un cortafuegos solo queda expuesto si alguien la activó. La solución alternativa es desactivarla.
La tabla relaciona los fallos con MITRE ATT&CK for ICS. Describe lo que permiten los fallos, más la explotación de PAN-OS que Palo Alto ha notificado. No describe un ataque observado sobre un producto Siemens.
| Táctica | Técnica (ID) | Aplicación en este caso |
|---|---|---|
| Acceso inicial | Dispositivo accesible desde internet (T0883) | Palo Alto informa de explotación PHP contra interfaces de gestión de PAN-OS expuestas a internet |
| Acceso inicial | Explotación de aplicaciones expuestas al público (T0819) | Interfaces web PHP y la interfaz web de PAN-OS, cuando son accesibles desde fuera de la red de control |
| Acceso inicial, movimiento lateral | Explotación de servicios remotos (T0866) | Un host ya en la red envía solicitudes HTTP manipuladas o flujos Brotli a un servidor interno |
| Inhibición de la función de respuesta | Denegación de servicio (T0814) | Los avisos señalan la denegación de servicio como posible impacto del fallo Brotli |
Por qué esto sigue ocurriendo
El software industrial se construye con las mismas bibliotecas que el software web. PHP y Brotli están en todas partes en internet, por lo que cuando uno falla, la corrección llega rápido para los servidores web. Tarda mucho más en llegar a un sistema de gestión de energía o a un servidor de automatización de edificios, porque cada fabricante tiene que localizar la biblioteca, recompilar, probar y publicar. Siemens publicó sus avisos en los diez días siguientes a las correcciones de PHP. Tres semanas después de esas correcciones, algunos de sus productos aún no tienen ninguna.
El cortafuegos también está en la lista. El RUGGEDCOM APE1808 está pensado para ejecutar un cortafuegos junto a los equipos. Según Palo Alto, los fallos PHP alcanzan la interfaz web de gestión de PAN-OS y la XML API, por lo que el APE1808 hereda PHP2Shell. Ya señalamos lo mismo sobre la variante FortiOS en la entrada sobre APE1808 FortiOS. Un dispositivo de seguridad tiene sus propios avisos, por lo que no debería ser el único elemento que protege un segmento.
Parchear servidores OT lleva tiempo. Una actualización de Spectrum Power en un centro de control requiere pruebas y una ventana de mantenimiento. Nuestra entrada sobre gestión de parches en entornos operacionales explica el motivo. Y cuando no hay corrección, todavía no hay ventana que planificar.
Qué hacer, sea cual sea su instalación
Localice las bibliotecas. Enumere todos los productos Siemens de los cinco avisos y luego determine qué otros servidores de sus plantas ejecutan PHP o decodifican Brotli. La alerta de CISA sobre PHP solicita un inventario de PHP integrado en otro software, no solo en servidores web.
Aplique parches donde exista corrección. Esto cubre Desigo CC, Gridscale X, la mayoría de las aplicaciones Industrial Edge, Spectrum Power 3, 7 y TG, Energy Engage V3.1SP1 y bt-monitoring-vm. En el APE1808, Palo Alto publica los hotfixes con la corrección para cada rama de PAN-OS. Tenga en cuenta que 11.2.10-h16 corrige solo PHP, mientras que 11.2.10-h17 corrige ambos.
Restrinja el acceso a la interfaz de gestión de PAN-OS. La recomendación de Palo Alto es limitar el acceso de gestión a direcciones internas de confianza o a un único jump host. Compruebe si alguna interfaz del plano de datos tiene un perfil de gestión asociado, ya que eso expone también la interfaz web en ese punto.
Contenga lo que no pueda parchear. Para AMIS TS, blueplanet, Spectrum Power 4 y Energy Engage V2.0SP9, restrinja la interfaz web a los operadores y sistemas concretos que la utilizan. Manténgala fuera de internet y fuera de la red corporativa. Detenga o desinstale Common Configurator, tal como aconseja Siemens.
Cómo ayuda Access Gate, y dónde no llega
Access Gate es un equipo que se instala en cada emplazamiento. Se conecta junto a su red existente. Una ruta en el router actual dirige el tráfico hacia los servidores que usted elija a través de él. No se instala nada en el servidor Siemens. La instalación lleva un día por emplazamiento. La entrada sobre la arquitectura Lollipop explica el diseño.
Una regla por servidor decide quién accede a cada interfaz web. Las listas de control de acceso son de denegación por defecto. Una regla permite que las estaciones de trabajo de la sala de control accedan al Web Office Portal de Spectrum Power 4 por HTTPS. El resto de hosts no tiene ruta, lo que elimina la mayoría de los emisores que podrían enviar una solicitud PHP2Shell.
Primero inicia sesión una persona identificada. Una pantalla de acceso pide las credenciales del directorio antes de que una estación de trabajo alcance el servidor. El acceso expira tras 15 minutos, 1 hora u 8 horas.
Las sesiones de administración están vinculadas a un nombre. Con la gestión de accesos privilegiados, RDP y SSH al servidor, y HTTPS a las interfaces web de administración, como las consolas de PAN-OS o IEM, se abren en una sesión de navegador vinculada a una persona concreta y limitada en el tiempo. Las sesiones RDP y SSH se graban. Cada cambio de regla queda registrado en el historial de cambios del enclave.
Las limitaciones son reales. Access Gate no parchea PHP ni Brotli, y no detecta estos CVE. Un usuario autorizado puede seguir enviando una solicitud maliciosa a un servidor al que tiene permitido acceder. Access Gate no modifica lo que el cortafuegos APE1808 decodifica en su propio plano de datos, por lo que desactivar la codificación Brotli o actualizar PAN-OS sigue siendo la solución en ese caso. Las correcciones de Siemens y Palo Alto siguen siendo las correcciones definitivas. Consulte también identidad OT, acceso remoto seguro y red eléctrica.
Qué hacer esta semana
- Enumere todos los productos de los cinco avisos, con su versión y el SSA que los cubre.
- Consulte las entradas KEV de CVE-2026-109618, CVE-2026-109619 y CVE-2026-111497, y establezca la prioridad en consecuencia.
- Compruebe si alguna interfaz de gestión de PAN-OS responde desde internet o desde la red corporativa.
- Ejecute
show system setting brotlien cada APE1808 con PAN-OS 11.2.4 o posterior, y desactive la codificación Brotli si no puede actualizar todavía. - Aplique las correcciones disponibles en Desigo CC, Gridscale X, Industrial Edge, Spectrum Power 3, 7 y TG.
- Detenga o desinstale Common Configurator en IEM y en los dispositivos.
- Restrinja cada servidor PHP sin parchear a usuarios identificados y sesiones de administración grabadas.
¿Quiere ver dónde iría un Access Gate en su planta? Diseñe su red en pocos minutos. Todos los demás avisos que hemos cubierto están en el archivo de avisos de seguridad ICS.
Fuentes: Avisos ICS de CISA ICSA-26-316-01, ICSA-26-316-02, ICSA-26-316-03, ICSA-26-316-04 y ICSA-26-316-05 (12 de noviembre de 2026); Siemens ProductCERT SSA-166980, SSA-045512, SSA-443410, SSA-898633 y SSA-566512; avisos de Palo Alto Networks para CVE-2026-109618 y CVE-2026-111497; el aviso PHP GHSA-w8hw-w9fx-j79w; la versión Brotli v1.2.1; la alerta PHP de CISA; el catálogo de Vulnerabilidades Explotadas Conocidas de CISA, versión 2026.11.10, consultado el 12 de noviembre de 2026; y MITRE ATT&CK for ICS. Confirme las versiones afectadas y los pasos de actualización con Siemens y Palo Alto Networks antes de modificar un sistema en producción.