Alerta para sistemas SCADA: una vulnerabilidad en Schneider Electric IGSS permite ejecución de código mediante archivos CGF

El 30 de julio de 2026, la CISA publicó el aviso ICSA-26-211-04, que informa de una vulnerabilidad de alta gravedad en el módulo IGSS Definition (Def.exe) del sistema SCADA IGSS de Schneider Electric. Identificada como CVE-2026-12927, la falla es una escritura fuera de los límites de memoria (CWE-787) con una puntuación CVSS 3.1 de 7.8. Para explotarla, es necesario que un usuario importe un archivo CGF especialmente manipulado. El impacto potencial abarca desde la ejecución de código arbitrario hasta la pérdida del control sobre el proceso industrial monitorizado.

Un vector local que requiere interacción pero otorga privilegios máximos

El ataque presenta un perfil técnico que merece atención: el vector es local (AV:L), la complejidad es baja (AC:L) y no se requieren privilegios en el sistema (PR:N). Sin embargo, todo gira en torno a una interacción humana indispensable (UI:R): la víctima debe cargar en la aplicación un archivo con extensión CGF que contenga el payload malicioso. Si se cumple esta condición, el atacante puede desencadenar la escritura fuera de límites y lograr el compromiso total de la confidencialidad, integridad y disponibilidad (C:H/I:H/A:H). En esencia, basta con un doble clic en el archivo equivocado.

Qué sucede tras el compromiso del módulo Def.exe

Una vez activada la vulnerabilidad, el atacante ejecuta código con los privilegios de la aplicación IGSS Definition. Dicha ejecución puede extenderse al sistema operativo subyacente mediante técnicas comunes de escalada de privilegios, posibilitando el robo o corrupción de datos de proceso, la modificación no autorizada de la lógica de control y la interrupción de los flujos productivos supervisados por la plataforma SCADA. En entornos donde IGSS gobierna infraestructuras críticas – distribución de agua, plantas energéticas o líneas de producción – la pérdida de control puede traducirse en daños físicos y paradas operativas.

Versiones afectadas y actualización correctiva

Los productos afectados son las versiones de IGSS Definition hasta la 18.0.0.26124 inclusive, más la release 18.0.0.26125. Schneider Electric ya ha publicado un parche correctivo (estado “fixed”), disponible a través del portal de soporte oficial: https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp. Todos los administradores de sistemas que gestionen instalaciones de IGSS deberían verificar su versión y aplicar la actualización sin demora.

Mitigaciones inmediatas y estrategias de defensa para OT

Quienes no puedan instalar la corrección de inmediato pueden reducir el riesgo adoptando algunas contramedidas. La primera, y más efectiva, consiste en importar archivos CGF exclusivamente desde fuentes confiables, verificando la integridad del contenido antes de su uso. Además, deben reforzarse las buenas prácticas para entornos OT: aislamiento de la red SCADA mediante firewalls y DMZ, accesos remotos protegidos por VPN, sanitización de los soportes extraíbles, desactivación del modo “Program” en los controladores y control físico de los accesos a las estaciones de trabajo IGSS. Por último, el monitoreo proactivo de los registros de las máquinas donde se ejecuta Def.exe puede detectar intentos de explotación en curso, permitiendo una intervención antes de que el daño se consolide.

Origen del aviso y referencias oficiales

La vulnerabilidad fue reportada a CISA por Schneider Electric y por el investigador independiente Michael Heinzl. El aviso completo está disponible en el repositorio CSAF de CISA (archivo csaf_files/OT/white/2026/icsa-26-211-04.json) y hace referencia al identificador CVE-2026-12927.