Un fallo del protocolo de Mitsubishi expone el tráfico de control industrial a manipulaciones dentro del segmento

Una debilidad en la integridad de los mensajes del ecosistema CC-Link IE TSN de Mitsubishi Electric podría permitir que un atacante presente en el mismo segmento de red manipule el tráfico de comunicaciones industriales, interrumpa funciones de control o provoque la indisponibilidad de los equipos.

Registrada como CVE-2026-13584, la vulnerabilidad afecta a un amplio inventario de controladores, sistemas de movimiento, servoaccionamientos, módulos remotos, interfaces de operador, componentes de comunicación, software y kits de desarrollo. CISA le asignó una puntuación CVSS v3 de 7,1.

A fecha de 18 de septiembre de 2026, no se han divulgado versiones corregidas, parches, medidas alternativas de configuración ni rutas de actualización específicas para cada modelo. Tampoco se han notificado casos confirmados de explotación.

Los paquetes manipulados pueden interferir con las comunicaciones de control

CVE-2026-13584 está clasificada como CWE-924, es decir, aplicación incorrecta de la integridad de los mensajes durante su transmisión a través de un canal de comunicación. La debilidad reside en productos que implementan o admiten el CC-Link IE TSN Communication Protocol (Update A) de Mitsubishi Electric.

Para llevar a cabo el ataque, primero es necesario obtener acceso al mismo segmento de red que los equipos afectados. El ataque consiste en enviar paquetes especialmente diseñados bajo determinadas condiciones temporales, lo que potencialmente permite alterar o interferir con los datos de comunicación durante la transmisión.

El requisito temporal puede hacer que los ataques sean menos fiables, pero una explotación exitosa podría tener consecuencias operativas directas. Los mensajes manipulados podrían impedir que un controlador realice su función prevista, provocar un funcionamiento incorrecto de los equipos conectados o desencadenar una condición de denegación de servicio.

No se describe como un ataque remoto nativo de Internet ni como un ataque remoto no autenticado. La información disponible no establece si se requiere autenticación del protocolo ni identifica ningún impacto sobre la confidencialidad o capacidad de exfiltración de datos.

El principal riesgo afecta a la integridad y la disponibilidad dentro de la red industrial.

Los equipos afectados abarcan varias capas de control

Todos los productos incluidos aparecen con la designación de versión vers:all/*. Por tanto, los operadores deben considerar afectados todos los modelos indicados, salvo que Mitsubishi Electric proporcione información más precisa.

Los controladores MELSEC MX afectados son:

• MX-R: MXR300-16, MXR300-32, MXR300-64, MXR500-128 y MXR500-256
• MX-F: MXF100-8-N32, MXF100-8-P32, MXF100-16-N32, MXF100-16-P32, MXF100S-N32, MXF100S-P32, MXF100S-8-N32, MXF100S-8-P32, MXF100S-16-N32 y MXF100S-16-P32

Entre los módulos master/local y las placas de interfaz se incluyen RJ71GN11-T2, RJ71GN11-SX, RJ71GN11-EIP, FX5-CCLGN-MS, NZ81GN11-SX y NZ81GN11-T2.

Los productos de movimiento incluyen RD78G4, RD78G8, RD78G16, RD78G64, RD78GHV, RD78GHW, FX5-40SSC-G, FX5-80SSC-G, LD78G4, LD78G16, MR-EM441G, SWM-G y SWM-G-N1.

Los módulos remotos de tipo bloque afectados son:

• NZ2GN2S1-32D, NZ2GN2S1-32T, NZ2GN2S1-32TE, NZ2GN2S1-32DT, NZ2GN2S1-32DTE
• NZ2GN2B1-32D, NZ2GN2B1-32T, NZ2GN2B1-32TE, NZ2GN2B1-32DT, NZ2GN2B1-32DTE
• NZ2GNCF1-32D, NZ2GNCF1-32T, NZ2GNCE3-32D, NZ2GNCE3-32DT
• NZ2GN12A4-16D, NZ2GN12A4-16DE, NZ2GN12A2-16T, NZ2GN12A2-16TE, NZ2GN12A42-16DT, NZ2GN12A42-16DTE
• NZ2GN2S1-16D, NZ2GN2S1-16T, NZ2GN2S1-16TE, NZ2GN2B1-16D, NZ2GN2B1-16T y NZ2GN2B1-16TE

Los módulos de funciones de seguridad incluyen NZ2GNSS2-8D, NZ2GNSS2-8D-K, NZ2GNSS2-8TE, NZ2GNSS2-8TE-K, NZ2GNSS2-16DTE, NZ2GNSS2-16DTE-K, NZ2GNS12A2-14DT y NZ2GNS12A2-16DTE.

Los productos de conversión, acoplamiento, FPGA y medición comprenden NZ2GN2S-60AD4, NZ2GN2B-60AD4, NZ2GN2S-60DA4, NZ2GN2B-60DA4, NZ2FT-GN, NZ2GN2S-D41P01, NZ2GN2S-D41D01, NZ2GN2S-D41PD02, LM7-1LG y LM7-2LG.

Los sistemas servo incluyen MR-J5-G, MR-J5W-G, MR-J5-G-HS, MR-J5-G-RJ, MR-J5-G-LL, MR-J5D-G4, MR-MD333G, MR-JET-G y MR-JET-G4-HS.

También están afectados los módulos de carril lineal MTR-SCU00-4G y MTR-SCU00-PG, además de los productos inversores FR-A8NCG, FR-A8NCG-S, FR-A800-GN, FR-E800-E y FR-E800-SCE.

Los robots, terminales de operador, software y semiconductores también están expuestos

El inventario va más allá de los controladores programables convencionales. Incluye la tarjeta de red del controlador de robots industriales 2F-DQ535-TSN, la unidad de expansión FCU8-EX569, los módulos puente NZ2GN-GFB y NZ2AW1GNAL, y la unidad de comunicación para medición energética EMU4-CM-TSN.

Los productos GOT3000 afectados son GT3715-FHCBD, GT3712-WXCBD, GT3715-XRBA, GT3715-XRBD, GT3712-XRBA, GT3712-XRBD, GT3710-XRBA, GT3710-XRBD, GT3708-XRBA y GT3708-XRBD. También figura la unidad de comunicación GT25-J71GN13-T2.

Los componentes de software y desarrollo incluyen:

• SW1DND-CCIETCT-M CC-Link IE TSN Communication Software for Windows
• SW1DNN-VIMA-M MELSOFT VIMA analysis software
• NZ2KT-NPETNG51 DeviceKit
• NZ2GACP620-60, NZ2GACP620-300, NZ2GACP621-90 y NZ2GACP621-720 communication LSIs
• SW1DNN-GN610SRC-M master/local module SDK
• SW1DNC-GNSDK1S-M y SW1DNC-GNSDK2S-M remote-station SDKs

Esta amplitud complica la identificación de activos. Las implementaciones vulnerables del protocolo pueden estar integradas en módulos de campo, paquetes de software, placas de interfaz o componentes de comunicación de bajo nivel, en lugar de aparecer como dispositivos de red independientes.

Los operadores de fabricación se enfrentan a riesgos de integridad y disponibilidad

El aviso sobre sistemas de control industrial de CISA identifica despliegues en todo el mundo dentro del sector de Fabricación crítica. Mitsubishi Electric tiene su sede en Japón.

Las consecuencias dependen de la función del componente objetivo. La manipulación del tráfico que afecte a controladores de movimiento, accionamientos, robots o módulos remotos de entrada/salida podría provocar un comportamiento incorrecto de los equipos. Los ataques contra unidades de comunicación o componentes de software podrían, en cambio, interrumpir la coordinación entre las distintas capas de control.

Entre los productos incluidos hay módulos de funciones de seguridad, pero no se ha divulgado ningún efecto concreto sobre los sistemas de seguridad. Los operadores no deben dar por hecho que los procedimientos habituales de contención de TI sean seguros sin realizar pruebas operativas.

No se han notificado indicadores vinculados a una campaña de ataque concreta. Tampoco se ha identificado ningún actor de amenazas, código de explotación ni caso confirmado de explotación.

No se ha indicado que CVE-2026-13584 figure en el catálogo Known Exploited Vulnerabilities de CISA y no se ha establecido ningún plazo de corrección KEV. La información disponible tampoco demuestra que exista un patrón reciente de otras vulnerabilidades de Mitsubishi Electric incorporadas a KEV.

Los responsables de defensa deben aislar los segmentos del protocolo mientras esperan las correcciones

Al no existir una versión de corrección publicada, los controles de red ofrecen la reducción de riesgo más inmediata. Los propietarios de los activos deben identificar primero todos los modelos incluidos, así como las placas de comunicación, los kits de desarrollo, el software para Windows y los LSI incorporados en otros productos.

El acceso a los segmentos CC-Link IE TSN debe limitarse a los controladores autorizados, las estaciones de trabajo de ingeniería y los hosts industriales necesarios. Los sistemas corporativos, los servicios expuestos a Internet y los dispositivos no confiables no deben compartir esos segmentos ni obtener acceso enrutado sin restricciones a ellos.

La supervisión debe centrarse en:

• Tiempos inusuales de los paquetes CC-Link IE TSN o ráfagas de tráfico
• Mensajes de protocolo malformados o inesperados
• Errores de integridad de las comunicaciones
• Cambios no planificados en el estado de control
• Reinicios inesperados de controladores, módulos, accionamientos o terminales de operador
• Pérdidas intermitentes de comunicación o condiciones inexplicables de denegación de servicio

Las capturas de red y los registros de los controladores deben conservarse cuando se produzcan anomalías. Dado que la explotación depende en parte de los tiempos, de lo contrario podría resultar difícil reconstruir incidentes aislados.

Cualquier futura actualización de firmware, software, controladores o módulos debe coordinarse con Mitsubishi Electric y con el equipo responsable de tecnología operativa. Los cambios deben probarse en un entorno representativo antes de desplegarse en producción, especialmente cuando estén implicados sistemas de movimiento, robótica, accionamientos, funciones de seguridad o procesos de fabricación continua.