CISA alerta por fallas en Eclipse Milo OPC UA
La agencia publicó un aviso sobre seis CVE en Eclipse Milo, una pila OPC UA usada en entornos industriales. Recomienda actualizar a Milo 1.1.5.
CISA publicó el aviso ICS-26-288-01 por vulnerabilidades en Eclipse Foundation Eclipse Milo, una pila OPC UA usada en entornos industriales. La agencia advirtió que la explotación podría permitir eliminar datos protegidos, recuperar credenciales, suplantar usuarios legítimos o hacer caer el servidor, y señaló a energía, agua y aguas residuales entre los sectores críticos relevados.
CISA publicó el aviso ICS-26-288-01 sobre vulnerabilidades en Eclipse Foundation Eclipse Milo, una pila OPC UA utilizada en entornos industriales. Según la agencia, la explotación podría permitir eliminar datos protegidos, recuperar credenciales, suplantar usuarios legítimos o provocar que el servidor dejara de responder. Entre los sectores críticos relevantes, CISA mencionó energía, agua y aguas residuales.
¿Qué vulnerabilidades identificó CISA?
CISA identificó seis CVE en Eclipse Milo y recomendó actualizar a Milo 1.1.5. Las fallas señaladas por el aviso técnico son CVE-2026-63252, CVE-2026-63248, CVE-2026-60007, CVE-2026-62927, CVE-2026-58080 y CVE-2026-61387. La recomendación de la agencia apunta a la rama corregida 1.1.5 como destino de actualización.
| CVE | Referencia | Observación |
|---|---|---|
| CVE-2026-63252 | CISA | Incluida en el aviso ICS-26-288-01 |
| CVE-2026-63248 | CISA | Incluida en el aviso ICS-26-288-01 |
| CVE-2026-60007 | CISA, Security Boulevard | Resultado con CVSS v4.0 de 9.1, crítica |
| CVE-2026-62927 | CISA | Incluida en el aviso ICS-26-288-01 |
| CVE-2026-58080 | CISA | Incluida en el aviso ICS-26-288-01 |
| CVE-2026-61387 | CISA | Incluida en el aviso ICS-26-288-01 |
¿Qué se sabe de CVE-2026-60007?
CVE-2026-60007 puede explotarse a partir de una discrepancia observable en el procesamiento de tokens UsernameToken bajo Basic128Rsa15. De acuerdo con Security Boulevard, un atacante situado en la red necesita capturar un token cifrado y realizar solicitudes ActivateSession repetidas. El resultado publicado para esa falla le asigna una puntuación CVSS v4.0 de 9.1, clasificada como crítica.
¿Por qué el caso importa para OT e ICS?
Milo es una biblioteca que puede estar embebida en productos SCADA, gateways y sistemas de control, por lo que la identificación de productos afectados requiere localizar implementaciones que incorporen la dependencia. Trout Software señaló que ese punto complica el relevamiento porque el componente puede aparecer integrado dentro de otras soluciones, en lugar de figurar como un producto visible por sí mismo.
¿Qué pasa con quienes usan la rama 0.6.x?
Las versiones de la rama 0.6.x no disponen de una versión corregida propia. Según Adyog Pulse, quienes sigan en esa línea deben migrar a Milo 1.1.5 o posterior, en lugar de esperar un parche específico para 0.6.x. Esa situación deja a esos usuarios con una única vía de remediación basada en actualización de versión.
Fuentes
- Daily OT Security News: October 16, 2026securityboulevard.com· Security BoulevardURL no verificada
- Eclipse Foundation Eclipse Milocisa.gov· Cybersecurity and Infrastructure Security Agency (CISA)
- Eclipse Milo flaws leave 0.6.x users with no patch, only a migrationpulse.adyog.com· Adyog Pulse
- Eclipse Milo OPC UA Flaws: Find Where It Is Embedded, Then Limit Who Reaches Ittrout.software· Trout Software
