Schneider Electric EcoStruxure IT Experto en Centros de Datos

Ver Resumen de CSAF Schneider Electric es consciente de una vulnerabilidad en su EcoStruxure™ IT Data Center Expert. El producto EcoStruxure™ IT Data Center Expert es un software de monitoreo escalable que recopila, organiza y distribuye información crítica de dispositivos, proporcionando una vista completa del equipo. No aplicar la remediación proporcionada a continuación puede arriesgar la divulgación de información. Las siguientes versiones de Schneider Electric EcoStruxure IT Data Center Expert están afectadas: EcoStruxure IT Data Center Expert vers:intdot/<=9.1.1, 9.1.2 (CVE-2026-8045) CVSS Vulnerabilidades de Equipos del Vendedor v3 6.5 Schneider Electric Schneider Electric EcoStruxure IT Data Center Expert Restricción Inadecuada de Referencias de Entidades Externas XML Antecedentes Sectores de Infraestructura Crítica: Tecnología de la Información, Fabricación Crítica, Energía Países/Áreas Desplegadas: Global Ubicación de la Sede de la Empresa: Francia Vulnerabilidades Expandir Todo + CVE-2026-8045 CWE-611: Existe una vulnerabilidad de Restricción Inadecuada de Referencias de Entidades Externas XML que podría causar la divulgación de información del contenido de archivos del lado del servidor cuando un atacante con una cuenta de usuario de Data Center Expert envía cargas útiles XML elaboradas a puntos finales de servicio SOAP Ver Detalles de CVE Productos Afectados Schneider Electric EcoStruxure IT Data Center Expert Vendedor: Schneider Electric Versión del Producto: EcoStruxure IT Data Center Expert (anteriormente conocido como StruxureWare Data Center Expert) Versión 9.1.1 y anterior Estado del Producto: corregido, conocido_afectado Remediaciones La corrección del vendedor v9.1.2 de EcoStruxure™ IT Data Center Expert incluye una solución para esta vulnerabilidad y está disponible para su descarga aquí: https://www.se.com/en/product-range/61851-ecostruxure-it-data-center-expert/#software-and-firmware https://www.se.com/ww/en/product-country-selector/?pageType=product-range&sourceId=61851#software-and-firmware CWE Relevante: CWE-611 Restricción Inadecuada de Referencias de Entidades Externas XML Métricas CVSS Versión Puntuación Base Severidad Base Cadena de Vector 3.1 6.5 MEDIA CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N Reconocimientos Schneider Electric CPCERT informó esta vulnerabilidad a CISA. Vincent Michel (@darkpills) de Formind Company informó esta vulnerabilidad a Schneider Electric Recomendaciones Generales de Seguridad Recomendamos encarecidamente las siguientes mejores prácticas de ciberseguridad de la industria. * Ubique las redes de sistemas de control y seguridad y dispositivos remotos detrás de cortafuegos y aíslelos de la red empresarial. * Instale controles físicos para que ningún personal no autorizado pueda acceder a sus sistemas de control y seguridad industrial, componentes, equipos periféricos y redes. * Coloque todos los controladores en armarios cerrados y nunca los deje en modo "Programar". * Nunca conecte software de programación a ninguna red que no sea la red destinada para ese dispositivo. * Escanee todos los métodos de intercambio de datos móviles con la red aislada, como CDs, unidades USB, etc., antes de usarlos en los terminales o en cualquier nodo conectado a estas redes. * Nunca permita que los dispositivos móviles que se hayan conectado a cualquier otra red además de la red destinada se conecten a las redes de seguridad o control sin la debida limpieza. * Minimice la exposición de la red para todos los dispositivos y sistemas del sistema de control y asegúrese de que no sean accesibles desde Internet. * Cuando se requiera acceso remoto, utilice métodos seguros, como Redes Privadas Virtuales (VPN). Reconozca que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. Además, entienda que las VPN son tan seguras como los dispositivos conectados. Para obtener más información, consulte el documento de Schneider Electric [Mejores Prácticas Recomendadas en Ciberseguridad](https://www.se.com/us/en/download/document/7EN52-0390/). Para Más Información Este documento proporciona una descripción general de la vulnerabilidad o vulnerabilidades identificadas y las acciones requeridas para mitigar. Para más detalles y asistencia sobre cómo proteger su instalación, comuníquese con su representante local de Schneider Electric o con Schneider Electric Industrial Cybersecurity Services: https://www.se.com/ww/en/work/solutions/cybersecurity/. Estas organizaciones estarán completamente al tanto de esta situación y pueden apoyarlo a lo largo del proceso. Para obtener más información relacionada con la ciberseguridad en los productos de Schneider Electric, visite la página del portal de soporte de ciberseguridad de la empresa: https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp AVISO LEGAL ESTE DOCUMENTO DE NOTIFICACIÓN, LA INFORMACIÓN AQUÍ CONTENIDA Y CUALQUIER MATERIAL VINCULADO A ÉL (COLECTIVAMENTE, ESTA "NOTIFICACIÓN") TIENE COMO OBJETIVO AYUDAR A PROPORCIONAR UNA DESCRIPCIÓN GENERAL DE LA SITUACIÓN IDENTIFICADA Y LAS ACCIONES DE MITIGACIÓN SUGERIDAS, REMEDIACIÓN, SOLUCIÓN Y/O RECOMENDACIONES GENERALES DE SEGURIDAD Y SE PROPORCIONA EN UNA BASE "COMO ESTÁ" SIN GARANTÍA O GARANTÍA DE NINGÚN TIPO. SCHNEIDER ELECTRIC RENUNCIA A TODAS LAS GARANTÍAS RELACIONADAS CON ESTA NOTIFICACIÓN, YA SEA EXPRESA O IMPLÍCITA, INCLUYENDO GARANTÍAS DE COMERCIALIZACIÓN O ADECUACIÓN PARA UN PROPÓSITO PARTICULAR. SCHNEIDER ELECTRIC NO GARANTIZA QUE LA NOTIFICACIÓN RESOLVERÁ LA SITUACIÓN IDENTIFICADA. EN NINGÚN CASO SCHNEIDER ELECTRIC SERÁ RESPONSABLE DE LOS DAÑOS O PÉRDIDAS DE NINGÚN TIPO EN RELACIÓN CON ESTA NOTIFICACIÓN, INCLUYENDO DAÑOS DIRECTOS, INDIRECTOS, INCIDENTALES, CONSECUENTES, PÉRDIDA DE BENEFICIOS COMERCIALES O DAÑOS ESPECIALES, AUNQUE SCHNEIDER ELECTRIC HA SIDO AVISADO DE LA POSIBILIDAD DE TALES DAÑOS. SU USO DE ESTA NOTIFICACIÓN ES BAJO SU PROPIO RIESGO, Y USTED ES EL ÚNICO RESPONSABLE DE CUALQUIER DAÑO A SUS SISTEMAS O ACTIVOS O OTRAS PÉRDIDAS QUE PUEDAN RESULTAR DE SU USO DE ESTA NOTIFICACIÓN. SCHNEIDER ELECTRIC SE RESERVA EL DERECHO DE ACTUALIZAR O CAMBIAR ESTA NOTIFICACIÓN EN CUALQUIER MOMENTO Y A SU SOLA DISCRECIÓN Sobre Schneider Electric El propósito de Schneider es crear un Impacto empoderando a todos para aprovechar al máximo nuestra energía y recursos, uniendo progreso y sostenibilidad para todos. Llamamos a esto La Vida Está Encendida. Nuestra misión es ser el socio de confianza en Sostenibilidad y Eficiencia. Somos un líder global en tecnología industrial, aportando experiencia de clase mundial en electrificación, automatización y digitalización a industrias inteligentes, infraestructura resiliente, centros de datos a prueba de futuro, edificios inteligentes y hogares intuitivos. Anclados en nuestra profunda experiencia en el dominio, proporcionamos soluciones AI habilitadas para el IoT Industrial, integradas y de ciclo de vida completo, con productos conectados, automatización, software y servicios, entregando gemelos digitales para permitir un crecimiento rentable para nuestros clientes. Somos una empresa de personas con un ecosistema de 150,000 colegas y más de un millón de socios operando en más de 100 países para asegurar proximidad a nuestros clientes y partes interesadas. Abrazamos la diversidad y la inclusión en todo lo que hacemos, guiados por nuestro propósito significativo de un futuro sostenible para todos. www.se.com Aviso Legal y Términos de Uso Este producto se proporciona sujeto a esta Notificación (https://www.cisa.gov/notification) y a esta política de Privacidad y Uso (https://www.cisa.gov/privacy-policy). Prácticas Recomendadas CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades. Minimice la exposición de la red para todos los dispositivos y/o sistemas del sistema de control, y asegúrese de que no sean accesibles desde internet. Ubique las redes del sistema de control y los dispositivos remotos detrás de cortafuegos y aísle los de las redes empresariales. Cuando se requiera acceso remoto, use métodos más seguros, como Redes Privadas Virtuales (VPN), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más reciente disponible. También reconozca que una VPN es tan segura como los dispositivos conectados. CISA recuerda a las organizaciones realizar un análisis de impacto adecuado y evaluación de riesgos antes de implementar medidas defensivas. CISA también proporciona una sección de prácticas recomendadas de seguridad para sistemas de control en la página web de ICS en cisa.gov. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluyendo la Mejora de la Ciberseguridad de los Sistemas de Control Industrial con Estrategias de Defensa en Profundidad. CISA alienta a las organizaciones a implementar estrategias recomendadas de ciberseguridad para la defensa proactiva de los activos de ICS. Orientación adicional de mitigación y prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov en el documento de información técnica, ICS-TIP-12-146-01B--Estrategias de Detección y Mitigación de Intrusiones Cibernéticas Dirigidas. Las organizaciones que observen actividad maliciosa sospechosa deben seguir los procedimientos internos establecidos y reportar hallazgos a CISA para el seguimiento y correlación con otros incidentes. Aviso de Conversión de Asesoría Este ICSA es una publicación textual del Schneider Electric CPCERT SEVD-2026-160-01 a partir de una conversión directa del marco de asesoramiento de seguridad común (CSAF) del vendedor. Esta publicación se repite en el sitio web de CISA como un medio para aumentar la visibilidad y se proporciona "como está" solo con fines informativos. CISA no es responsable de la precisión editorial o técnica de las asesorías republicadas y no ofrece garantías de ningún tipo sobre la información contenida dentro de esta asesoría. Además, CISA no respalda ningún producto o servicio comercial. Comuníquese directamente con Schneider Electric CPCERT para cualquier pregunta relacionada con esta asesoría. Historial de Revisiones Fecha de Lanzamiento Inicial: 2026-06-09 Resumen de la Revisión de Fechas 2026-06-09 1 Lanzamiento Original 2026-06-30 2 Republicación Inicial de CISA de la asesoría Schneider Electric CPCERT SEVD-2026-160-01