Aviso de CISA: Vulnerabilidades críticas en el equipo de prueba de comunicaciones ASE2000 V2 de Applied Systems Engineering

CISA publicó un aviso de sistemas de control industrial el 27 de agosto de 2026, detallando dos vulnerabilidades que afectan al equipo de prueba de comunicaciones ASE2000 V2 de Applied Systems Engineering, versiones 2.25 a 2.37. La primera vulnerabilidad, CVE-2018-1285, es una restricción incorrecta de referencia a entidades externas XML (XXE) en la biblioteca Apache log4net incluida, que permite a un atacante leer o escribir archivos locales arbitrarios o provocar solicitudes de red salientes. La segunda, CVE-2026-18717, es una vulnerabilidad de validación incorrecta de certificados en el cliente TLS IEC 60870-5-104, que permite a un atacante hacerse pasar por un par confiable, completar el protocolo de enlace TLS y leer o modificar comunicaciones protegidas. Las puntuaciones CVSS van de 7.4 a 9.8 (crítico). El proveedor, ASE/Kalkitech, ha lanzado la versión 2.38 que actualiza log4net y corrige la validación de certificados. CISA recomienda actualizar de inmediato y proporciona mitigaciones provisionales como restringir el acceso de escritura, aislar redes y usar firewalls. No se ha informado de explotación pública conocida.