El 15 de octubre de 2026, Mitsubishi Electric publicó el aviso de seguridad 2026, que cubre cuatro vulnerabilidades en su software SCADA y de visualización GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 y BizViz. La más grave, CVE-2026-16438, tiene una puntuación base CVSS v4.0 de 9.4. Se origina a partir de un instalador que otorga permisos DCOM predeterminados a la cuenta de administrador del producto que nunca debieron haberse concedido, lo que permite a esa cuenta iniciar y operar objetos DCOM que normalmente requieren elevación de UAC, ya sea de forma local o remota. 

Este es un caso de vulnerabilidades de Mitsubishi Electric en 2026 que requiere una lectura cuidadosa. Tres de las cuatro CVE requieren acceso a nivel de administrador o el conocimiento de un valor de desbloqueo fijo, y la cuarta (CVE-2023-4863) es una falla de libwebp de hace tres años incluida en compilaciones anteriores. No se ha reportado ninguna explotación contra estos productos. Sin embargo, el aviso también contiene un detalle operativo inusual: la corrección más limpia, ICONICS Suite 10.98, elimina por completo la función vulnerable Security Challenge, y tres productos (MC Works64, GENESIS32, BizViz) no recibirán ninguna corrección. 

Investigación verificada al 28 de octubre de 2026. Fuentes primarias: aviso de Mitsubishi Electric 2026-006, aviso de CISA ICSA-26-300-02, registros del programa CVE y documentación de versiones de ICONICS. 

Resumen ejecutivo 

El aviso 2026-006 de Mitsubishi Electric (15 de octubre de 2026; republicado por CISA como ICSA-26-300-02 el 27 de octubre) cubre cuatro CVE en el software SCADA de la familia ICONICS: CVE-2023-4863 (libwebp, CVSS v4 9.3), CVE-2026-16436 (respuesta de desafío fija, 9.2), CVE-2026-16437 (archivo de desafío modificable, 7.1) y CVE-2026-16438 (exceso de permisos DCOM, 9.4). La explotación requiere acceso de administrador local, la misma cuenta de administrador o la posesión de un valor de desbloqueo fijo. No se ha informado de explotación, prueba de concepto pública o vinculación con actores de amenazas. Existen correcciones en ICONICS Suite 10.97.3 y 10.98, IoTWorX 10.98 y GENESIS 11.04; MC Works64, GENESIS32 y BizViz solo reciben mitigaciones. Los equipos de defensa deben verificar las versiones instaladas, restringir los inicios de sesión y el acceso remoto a los hosts afectados, aplicar la solución alternativa del proveedor para el archivo de desafío y planificar la actualización a la versión 10.98. 

Conclusiones clave de un vistazo 

¿Qué sucedió? 

El aviso 2026-006 es un aviso del proveedor recién emitido con identificadores CVE recién asignados, no una actualización de uno anterior ni un informe de un ataque. Según el aviso de Mitsubishi Electric, los cuatro problemas son: 

• CVE-2023-4863: una escritura fuera de límites (CWE-787) en libwebp, un componente integrado en GENESIS64 e ICONICS Suite 10.97 a 10.97.2. La explotación requiere que un atacante que haya iniciado sesión localmente importe un archivo manipulado como administrador del producto. 

  
  

• CVE-2026-16436: un mecanismo débil de recuperación de contraseñas (CWE-640). En la función de security challenge de los productos, la respuesta de desafío utilizada para desbloquear el sistema es común para todos los usuarios y fija, por lo que cualquiera que la obtenga puede desbloquear el sistema. 

  
  

• CVE-2026-16437: la misma clase de debilidad (CWE-640), pero local. Los administradores pueden leer y escribir el archivo de administración que almacena la respuesta de desafío. 

  
  

• CVE-2026-16438: asignación incorrecta de privilegios (CWE-266). Los instaladores otorgan permisos DCOM predeterminados e innecesarios a la cuenta de administrador del producto. 

CVE-2026-16437 y CVE-2026-16438 se encuentran en el mismo aviso, junto con CVE-2026-16436 y CVE-2023-4863. Tratar esto como un caso de "dos CVE" subestimaría la exposición, porque CVE-2026-16436 es el único problema del conjunto calificado sin necesidad de privilegios requeridos. 

El aviso ICS de CISA se describe en su historial de revisiones como una republicación textual del aviso de Mitsubishi Electric, convertida a partir de los datos CSAF del proveedor. No añade ningún análisis técnico independiente. 

Cronología de divulgación de vulnerabilidades 

Las fechas de descubrimiento, divulgación y republicación son eventos independientes. La fecha de CISA del 27 de octubre no constituye un nuevo hallazgo. 

Desglose técnico de las vulnerabilidades 

CVE-2026-16438: permisos DCOM y UAC 

El aviso indica que durante la instalación, los productos afectados "otorgan innecesariamente permisos DCOM predeterminados" a la cuenta de administrador del producto, de modo que los usuarios de esa cuenta pueden iniciar y operar objetos DCOM de forma local o remota que deberían requerir elevación de UAC. La puntuación refleja un vector de ataque de red, baja complejidad, altos privilegios requeridos y un alto impacto tanto en el sistema vulnerable como en sistemas posteriores.

Dos puntos merecen atención. Primero, un 9.4 con PR:H es alto debido al vector de red y a las clasificaciones de impacto en sistemas posteriores, no porque un atacante no autenticado pueda acceder libremente. En segundo lugar, el aviso no especifica qué objetos DCOM están expuestos, qué entradas de permisos se modifican o si el cambio se limita a identificadores de aplicación específicos o afecta a los valores predeterminados de toda la máquina. Esos detalles se desconocen. Cualquiera que afirme conocer la mecánica exacta de explotación a partir de fuentes públicas está yendo más allá de la evidencia. 

El aviso también es ambiguo con respecto a la "cuenta de administrador de los productos afectados". El vector CVSS y las mitigaciones del proveedor (restringir inicios de sesión a administradores, bloquear inicios de sesión remotos de no administradores) sugieren una cuenta de Windows, pero el texto no aclara si se refiere a una cuenta de seguridad a nivel de producto o a un administrador local de Windows. Los propietarios de activos deben considerar ambas dentro del alcance hasta que Mitsubishi Electric o ICONICS lo aclaren. 

CVE-2026-16436 y CVE-2026-16437: la función Security Challenge 

La documentación de ICONICS describe Security Challenge como un mecanismo de seguridad para administradores que olvidan una contraseña o experimentan un fallo de inicio de sesión; en la ayuda de 10.97, el administrador abre un cuadro de diálogo de desafío y se comunica con el Soporte Técnico de ICONICS con la cadena mostrada. El proveedor ahora afirma que la respuesta que desbloquea el sistema es fija y común a todos los usuarios.

La redacción del aviso deja una interrogante abierta: "común a todos los usuarios" podría significar todas las cuentas en una misma instalación o el mismo valor en múltiples instalaciones. La diferencia es fundamental. Una constante por instalación representa un problema de secreto local; una constante global representa un problema de secreto en todo el producto. El aviso también solo señala que un atacante puede obtener la respuesta "por algún medio" y no describe cómo podría suceder esto de forma remota. CVSS v4 codifica esto con AT:P (requisitos de ataque presentes) y PR:N, por lo que la puntuación de 9.2 asume que el atacante ya posee dicho valor. 

CVE-2026-16437 es la contraparte local: un administrador puede leer y escribir el archivo de administración que almacena la respuesta, el cual, según el aviso, está protegido por Windows. En la práctica, este es un problema de separación de controles. Cualquier persona con privilegios de administrador de Windows en el host SCADA puede alterar el mecanismo de desbloqueo. 

CVE-2023-4863: una biblioteca de terceros en un producto SCADA 

Este es el desbordamiento de búfer en memoria dinámica de libwebp que se explotó en Chromium en 2023 y se añadió al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA el 13 de septiembre de 2023. Algunos rastreadores secundarios lo etiquetan como "explotado", lo que puede inducir a error a los lectores del aviso de Mitsubishi. Esa etiqueta se refiere a la vulnerabilidad de la biblioteca en navegadores web, no a ningún ataque reportado contra GENESIS64 o ICONICS Suite. En estos productos, el problema requiere que un administrador con sesión iniciada localmente importe un archivo manipulado, y el proveedor asigna un vector AV:L/PR:H (9.3 bajo v4). La puntuación genérica más antigua de la NVD es 8.8 bajo CVSS v3.1, lo que refleja un modelo de amenazas diferente.

Causa raíz: ¿qué falló? 

El patrón entre las tres CVE de 2026 resulta más ilustrativo que cualquier puntuación individual. 

• Secretos por diseño, no por accidente. Un mecanismo de recuperación que depende de una sola respuesta fija no puede ser seguro, independientemente de quién lo conozca. La solución del propio proveedor es la eliminación: las notas de la versión ICONICS 10.98 establecen que la función Security Challenge ha sido removida. 

  
  

• Decisiones de privilegios en el momento de la instalación. CVE-2026-16438 se genera durante la instalación, no por un error en tiempo de ejecución. Una línea base de permisos establecida una vez por un instalador persiste durante toda la vida útil del host y rara vez es revisada por los equipos de OT. 

  
  

• Confianza exclusiva en la protección de archivos de Windows. El archivo de desafío depende de las ACL del sistema operativo, las cuales pierden eficacia una vez que un atacante obtiene derechos de administrador local. La mitigación del proveedor reconoce esto al solicitar que el acceso de escritura se restrinja a una cuenta de administrador única e independiente del administrador de GENESIS. 

  
  

• Componentes integrados con sus propios historiales. CVE-2023-4863 demuestra cómo una biblioteca incrustada en una suite industrial hereda una vulnerabilidad años después de que se haya corregido en el proyecto original. 

Nada de esto implica un fallo de programación que haya sido demostrado o explotado. Se trata de una evaluación de las clases de debilidad documentadas (CWE-640, CWE-266, CWE-787). 

Cómo la explotación podría afectar los entornos industriales 

La siguiente es una secuencia conceptual e hipotética, no un ataque observado, y omite deliberadamente los detalles técnicos. 

1. Posición inicial. Un atacante obtiene acceso a la red corporativa o una vía de acceso remoto hacia el segmento SCADA y posee, o consigue, credenciales para la cuenta de administrador del producto (CVE-2026-16438), o ha averiguado el valor de desbloqueo fijo (CVE-2026-16436), o ya cuenta con privilegios de administrador local (CVE-2026-16437, CVE-2023-4863). 

   
   

2. Alcance. Se requiere conectividad de red hacia el host SCADA para los escenarios remotos. En donde no exista, el vector remoto es inutilizable. 

   
   

3. Acción. El atacante aprovecha la vulnerabilidad para operar el producto con mayor autoridad de la prevista, o para eludir la capa de inicio de sesión propia del producto. 

   
   

4. Impacto. El proveedor enumera la divulgación de información, la manipulación, la destrucción o eliminación de datos y la denegación de servicio como posibles consecuencias. 

Mapeo editorial a MITRE ATT&CK for ICS (verifique los IDs de técnica antes de su publicación): Cuentas Válidas (Valid Accounts - T0859) y Servicios Remotos (Remote Services - T0886) para el paso de acceso; Datos de Repositorios de Información (Data from Information Repositories - T0811) para datos de historiadores o de configuración; Manipulación de la Vista (Manipulation of View - T0832) y Modificar Parámetro (Modify Parameter - T0836) para escenarios de manipulación; Denegación de Servicio (Denial of Service - T0814) para el impacto en la disponibilidad. Estos mapeos son interpretaciones analíticas de las declaraciones de impacto del fabricante, no comportamientos de adversarios observados. 

Productos y versiones afectadas 

Los roles de los productos son descripciones generales con fines orientativos; el aviso no los define formalmente. 

Observe dos detalles de alcance que la cobertura secundaria suele omitir. CVE-2026-16438 no incluye a GENESIS 11, IoTWorX, GENESIS32 ni BizViz. Además, MC Works64 se ve afectado por las tres CVE de 2026 sin ninguna corrección planificada. 

Cómo verificar su versión 

Según el fabricante, en Windows 11 abra Configuración, luego Aplicaciones y después Aplicaciones y características: 

• GENESIS: vulnerable si "ICONICS GENESIS" muestra la versión 11.3.578 o anterior. 

  
  

• GENESIS64 / ICONICS Suite (CVE-2023-4863): vulnerable si "ICONICS Suite" muestra desde la versión 10.97.020.27 hasta la 10.97.212.46. 

  
  

• GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX (CVE de 2026): vulnerable si "ICONICS Suite" muestra la versión 10.97.306.55 o anterior. Para GENESIS64, MobileHMI, Hyper Historian y AnalytiX, revise la entrada de Suite porque se distribuyen dentro de dicho instalador. 

Impactos potenciales en SCADA y operaciones industriales 

Todas las siguientes son consecuencias potenciales descritas por el proveedor o derivadas de la funcionalidad afectada, no incidentes confirmados. El impacto en el mundo real depende en gran medida de la arquitectura. 

• Monitoreo SCADA y operaciones de HMI: la operación no autorizada del producto podría alterar vistas, pantallas o configuraciones, afectando lo que observan los operadores. La integridad de la visualización es una preocupación estrechamente ligada a la seguridad física donde los operadores dependen de ella para tomar decisiones. 

  
  

• Integridad del historiador: en despliegues con Hyper Historian, la alteración o eliminación afectaría tendencias, registros de alarmas y eventos, y reportes posteriores, acarreando consecuencias para investigaciones y registros regulatorios. 

  
  

• Disponibilidad: el fabricante incluye denegación de servicio. En un único servidor SCADA esto podría representar una pérdida de visibilidad más que una pérdida de control, ya que muchos controladores de procesos operan de forma independiente de la capa HMI. Esta distinción varía según la implementación. 

  
  

• Operaciones remotas y acceso a la red de planta: un punto de apoyo con nivel de administrador en un host SCADA es un fuerte punto de pivote hacia controladores y estaciones de trabajo de ingeniería. 

  
  

• Monitoreo relacionado con la seguridad funcional: cuando la presentación de alarmas o la supervisión vinculada a la seguridad operan a través de la misma infraestructura, la pérdida de integridad adquiere mayor gravedad. Los sistemas instrumentados de seguridad normalmente están separados, pero esto debe verificarse en lugar de asumirse. 

Un host vulnerable no es sinónimo de un despliegue explotable. Un servidor GENESIS64 sin rutas de inicio de sesión de administrador remoto, con una cuenta de administrador única y no compartida, firewall de host y sin acceso entrante desde redes corporativas presenta un riesgo muy distinto al de una red plana con credenciales de administrador compartidas y acceso remoto de terceros. 

¿Se ha confirmado la explotación? 

No. En las fuentes revisadas, ni el proveedor, ni CISA, ni la cobertura secundaria reportan explotación activa de CVE-2026-16436, CVE-2026-16437 o CVE-2026-16438. Coberturas secundarias de Daily Security Review y SecurityOnline señalan que no existe una prueba de concepto pública. Un rastreador externo reporta que CVE-2026-16438 no se encuentra en el catálogo KEV de CISA; una verificación independiente de KEV para las demás CVE debe formar parte de cualquier revisión interna. Las estimaciones públicas de EPSS para las nuevas CVE se encontraban muy por debajo del 1% al momento de la investigación. 

Ningún actor de amenazas, campaña, víctima, interrupción del servicio o pérdida financiera se ha vinculado públicamente con estas vulnerabilidades. Los investigadores u organizaciones que las reportaron no se mencionan en el texto del aviso del fabricante ni en los registros CVE revisados; el registro CVE clasifica el descubrimiento como desconocido. 

Lo que sigue siendo incierto: de qué manera un atacante obtendría la respuesta de desafío fija, qué objetos DCOM se encuentran expuestos, si existe código de explotación de forma privada y cuántas instalaciones ejecutan compilaciones vulnerables.

Por qué estas vulnerabilidades importan a los CISO y a los equipos de seguridad de OT 

Las puntuaciones principales son menos relevantes que tres hechos estructurales. 

Primero, "10.97.3 y anteriores" sigue repitiéndose. Diversas divulgaciones de 2026 para esta familia de productos, incluyendo los problemas de almacenamiento de credenciales SQL en el aviso de Mitsubishi 2025-023 y otras entradas de 2026 en feeds de vulnerabilidades, comparten ese mismo límite superior. Aplicar parches a una CVE a la vez en 10.97.x es un esfuerzo interminable; la línea 10.98 del proveedor es donde se han ido consolidando las correcciones. Esta es una observación sobre los patrones de divulgación, no una predicción. 

Segundo, la corrección es una actualización de versión, no un parche rápido (hotfix). Las notas de la versión 10.98 describen un instalador completamente nuevo, la eliminación de la función Security Challenge y la exclusión del OPC Local Discovery Server de la instalación. Cada uno es un cambio que puede afectar implementaciones, procedimientos de recuperación e integraciones. Esto convierte a la versión 10.98 en un proyecto que requiere pruebas, ventanas de mantenimiento, copias de seguridad y aprobación formal de ingeniería. 

Tercero, los productos al final de su vida útil conllevan una exposición permanente. MC Works64, GENESIS32 y BizViz no recibirán parches. Su riesgo solo puede reducirse mediante controles compensatorios o la migración, y la guía de migración del fabricante está disponible únicamente en japonés y detrás de un inicio de sesión para miembros. 

Detección y evaluación de la exposición 

No ejecute escaneos indiscriminados contra hosts SCADA. Comience con un trabajo pasivo y basado en registros documentales. 

1. Inventaríe primero a partir de registros. Utilice la gestión de activos, CMDB, documentación de ingeniería y registros de licencias del proveedor para listar los hosts que ejecutan productos de la familia ICONICS; posteriormente, confirme las versiones siguiendo el procedimiento del proveedor detallado arriba, durante un acceso programado. 

   
   

2. Mapee el alcance de conectividad. Para cada host, documente qué redes y cuentas pueden alcanzarlo, incluyendo escritorio remoto, VPN y acceso de ingeniería por parte de terceros, y verifique si la misma cuenta de administrador se reutiliza en varios hosts. 

   
   

3. Inspeccione el archivo de desafío. Confirme si ClientChallengeTable.dat (versión 10) o SecurityChallenges.dat (versión 11) existe y quién posee permisos de escritura, utilizando una revisión de solo lectura. Tenga en cuenta que los artículos secundarios abrevian el nombre del primer archivo; utilice los nombres y ubicaciones exactos del proveedor. 

   
   

4. Aproveche la telemetría existente. Los registros estándar de Windows ofrecen visibilidad defensiva sin necesidad de IOCs específicos del producto: inicios de sesión exitosos y fallidos, inicios de sesión con privilegios especiales (registro de Seguridad), creación de procesos, auditoría de acceso a archivos en el archivo de desafío si hay una SACL configurada, y actividad de COM Distribuido junto con errores de permisos en el registro del Sistema. Valide los identificadores de eventos contra su compilación de Windows antes de diseñar reglas de detección. 

   
   

5. Monitoree el comportamiento del administrador. Los inicios de sesión interactivos de administradores en hosts SCADA desde fuentes no esperadas, así como el uso de cuentas de administrador fuera de las ventanas de mantenimiento, constituyen las señales más relevantes para los escenarios de CVE-2026-16438 y CVE-2026-16436. 

No se han publicado indicadores de compromiso, reglas YARA ni reglas Sigma para estas vulnerabilidades en las fuentes revisadas, y no se ofrece ninguna aquí.

Remediación y mitigación 

Acciones recomendadas por el proveedor 

Para las cuatro vulnerabilidades, Mitsubishi Electric recomienda que las organizaciones:

• configuren las computadoras afectadas para que solo un administrador pueda iniciar sesión; 

  
  

• las operen en una LAN y bloqueen el inicio de sesión remoto desde redes no confiables, hosts no autorizados y usuarios no administradores; 

  
  

• utilicen firewalls y VPNs, permitiendo el inicio de sesión remoto únicamente a administradores cuando se requiera acceso a internet; 

  
  

• restrinjan el acceso físico al equipo y a su red; 

  
  

• eviten enlaces y archivos adjuntos provenientes de correos electrónicos no confiables. 

Mitigaciones adicionales del fabricante: instalar software antivirus en los equipos afectados (todas las CVE; para CVE-2026-16438 también en las PCs con capacidad de acceder al host); y para CVE-2026-16436 y CVE-2026-16437, eliminar el archivo de desafío .dat, crear un archivo en blanco con el mismo nombre y ubicación, y restringir los permisos de escritura y eliminación exclusivamente a una cuenta de administrador única que sea distinta de la cuenta de administrador de GENESIS. Ubicaciones según el aviso: C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat para la versión 10 y C:\ProgramData\ICONICS\11\SecurityChallenges.dat para la versión 11. 

Una advertencia operativa, señalada como análisis editorial: dado que Security Challenge es la vía de recuperación de contraseñas perdidas del producto, neutralizar el archivo puede alterar la forma en que un administrador recupera el acceso. Confirme una ruta de recuperación documentada antes de realizar el cambio y consulte la guía "Safeguarding Security Server Access" mencionada en las notas de la versión 10.98. 

Plan de respuesta priorizado

Evite reinicios de emergencia, despliegue automatizado de parches y pruebas agresivas en servidores SCADA de producción. Aplique procedimientos respaldados por el fabricante, ventanas de mantenimiento programadas y aprobación por parte de ingeniería. 

Lista de verificación de seguridad OT 

• [ ] Todos los hosts de la familia ICONICS identificados y sus versiones confirmadas 

• [ ] Hosts clasificados: corregibles mediante parche, con actualización programada o productos sin corrección 

• [ ] Inicio de sesión remoto limitado exclusivamente a administradores nominales 

• [ ] Sin cuentas de administrador compartidas entre los distintos hosts SCADA 

• [ ] Solución alternativa para el archivo de desafío probada y procedimiento de recuperación documentado 

• [ ] Hosts SCADA no accesibles desde las redes corporativas generales 

• [ ] Acceso remoto de terceros y proveedores debidamente inventariado y controlado 

• [ ] Auditoría de inicio de sesión y acceso a archivos habilitada en hosts SCADA 

• [ ] Respaldos y procedimientos de reversión (rollback) verificados 

• [ ] Actualización a la versión 10.98 / 11.04 programada junto con pruebas de aceptación 

Lecciones aprendidas para la ciberseguridad industrial 

Considere el comportamiento del instalador como parte de la superficie de ataque. Las líneas base de permisos establecidas durante la instalación merecen una revisión durante la puesta en marcha y después de cada actualización. 

Separe las funciones administrativas en los hosts SCADA. La solución alternativa propia del proveedor para CVE-2026-16437 asigna el control de archivos a un administrador único e independiente del administrador de la aplicación, lo que representa una lección puntual pero fundamental sobre la separación de funciones. 

Incorpore el software en fin de vida útil dentro de los registros de riesgos. La designación "sin corrección planificada" exige una decisión formal por parte del propietario del activo, que cuente con controles compensatorios documentados y una fecha límite para su retiro. 

No sobreinterprete una puntuación aislada. Un 9.4 que exige privilegios elevados y un 9.2 que depende de un valor filtrado requieren respuestas operativas muy distintas a las de una falla explotable en red de forma no autenticada. El análisis de exposición debe orientar la priorización, como ilustra esta perspectiva cualitativa editorial (metodología: nivel de exposición del host, higiene de cuentas, estado de soporte del producto y viabilidad para la actualización; sin implicar una puntuación numérica): 

Cómo puede Shieldworkz apoyar la reducción del riesgo industrial 

Las vulnerabilidades del aviso 2026-006 se centran en quién puede iniciar sesión, desde dónde y con qué privilegios. Esto hace que el trabajo consista principalmente en visibilidad y arquitectura. Shieldworkz ofrece evaluación de riesgos y análisis de brechas de seguridad OT, así como evaluación de vulnerabilidades y pruebas de penetración en OT para identificar qué hosts SCADA existen, de qué forma son alcanzables y dónde residen las debilidades de segmentación y administración de cuentas. Su plataforma de seguridad OT proporciona inventario de activos y monitoreo continuo que ayudan a delimitar el alcance de los hosts SCADA y a detectar actividad anómala de administradores; asimismo, su servicio retenido de respuesta a incidentes en OT es clave para los equipos que requieren soporte inmediato si se detecta actividad sospechosa. La confirmación de versiones en el propio host sigue realizándose según el procedimiento del proveedor, y ninguna herramienta sustituye la aplicación de los parches oficiales correspondientes. 

Evalúe su nivel de exposición industrial con Shieldworkz. Identifique activos OT vulnerables, priorice la remediación y consolide la postura de ciberseguridad industrial de su organización: solicite una evaluación.

Preguntas frecuentes 

¿En qué consiste la vulnerabilidad de Mitsubishi Electric GENESIS64 reportada en 2026?  

Consiste en un conjunto de cuatro vulnerabilidades descritas en el aviso 2026-006, publicado el 15 de octubre de 2026, que afectan a GENESIS64, ICONICS Suite y productos asociados. Incluyen una falla de memoria en libwebp (CVE-2023-4863), un valor de desbloqueo fijo (CVE-2026-16436), un archivo de desafío con permisos de escritura indebidos (CVE-2026-16437) y un exceso de permisos DCOM (CVE-2026-16438). 

¿Cuáles versiones de ICONICS se ven afectadas?  

Para las tres CVE de 2026, ICONICS Suite, GENESIS64, Hyper Historian, AnalytiX, MobileHMI y IoTWorX en versiones 10.97.3 y anteriores, GENESIS 11.03 y anteriores, y todas las versiones de MC Works64, GENESIS32 y BizViz (el alcance varía por CVE). CVE-2023-4863 afecta a GENESIS64 e ICONICS Suite de la versión 10.97 a la 10.97.2. 

¿Qué es la vulnerabilidad CVE-2026-16438?  

Una asignación incorrecta de privilegios (CWE-266) en la que los instaladores conceden permisos DCOM predeterminados a la cuenta de administrador del producto, permitiendo la ejecución y operación local o remota de objetos DCOM que deberían requerir elevación de UAC. Posee una puntuación base CVSS v4.0 de 9.4. 

¿Es la vulnerabilidad explotable de manera remota?  

CVE-2026-16436 y CVE-2026-16438 cuentan con vectores de ataque de red según las puntuaciones del proveedor, pero ambas exigen condiciones previas: conocimiento de la respuesta de desafío fija en la primera, y acceso a la cuenta de administrador en la segunda. CVE-2026-16437 y CVE-2023-4863 son de alcance exclusivamente local. 

¿Exige la explotación contar con credenciales de administrador?  

Para CVE-2026-16438, CVE-2026-16437 y CVE-2023-4863, sí, se requieren privilegios elevados según la evaluación del proveedor. CVE-2026-16436 no exige privilegios previos, pero depende de haber obtenido la respuesta de desafío fija, y el aviso de seguridad no detalla cómo un atacante podría lograrlo. 

¿Se ha registrado explotación activa de esta vulnerabilidad en entornos reales?  

No se ha informado ninguna explotación de estos productos en las fuentes analizadas. CVE-2023-4863 fue explotada activamente en Chromium en 2023, pero ese hecho no describe incidentes dirigidos a productos ICONICS. 

¿Qué acciones pueden tomar los administradores de Hyper Historian para reducir la exposición?  

Confirmar la versión de "ICONICS Suite", restringir los inicios de sesión locales y remotos exclusivamente a administradores identificados, mantener el host aislado de las redes corporativas generales, implementar la solución alternativa del archivo de desafío tras validarla en pruebas y proyectar la actualización a Suite 10.98. 

¿Cuáles actualizaciones o mitigaciones ofrece Mitsubishi Electric?  

Suite 10.97.3 (para CVE-2023-4863); Suite y IoTWorX 10.98 junto con GENESIS 11.04 (para las tres CVE de 2026). Para MC Works64, GENESIS32 y BizViz existen únicamente medidas de mitigación, recomendándose la migración hacia GENESIS64 o GENESIS. 

Evaluación final 

La interpretación más constructiva del aviso 2026-006 no consiste en asumir "cuatro fallas críticas", sino en plantear "tres preguntas fundamentales sobre control de acceso y una sobre ciclo de vida de los sistemas". ¿Quién puede iniciar sesión en sus hosts SCADA y con qué grado de credenciales compartidas? ¿Quién puede alcanzarlos a través de la infraestructura de red? Y, finalmente, ¿cuáles de sus instalaciones ejecutan versiones o productos para los cuales el fabricante nunca desarrollará un parche? 

Las organizaciones que operan ICONICS Suite 10.97.x deben gestionar la transición a 10.98 como un proyecto formal de ingeniería, comenzando ahora, en lugar de esperar la publicación del siguiente aviso para versiones heredadas de 10.97.3. Aquellas que aún mantienen MC Works64, GENESIS32 o BizViz precisan de una decisión formal documentada, no de una simple suposición. La evidencia disponible actualmente no muestra casos de explotación y evidencia diversas condiciones que la dificultan. Este contexto invita a actuar de manera metódica y estructurada, nunca a postergar la atención requerida.