Falla crítica en Hitachi Energy Asset Suite expone servlets sin autenticación

CISA documentó dos CVEs con CVSS 8.1 en el software de gestión de activos que usan generadoras, transmisoras y distribuidoras eléctricas. No hay explotación activa confirmada, pero el vector no exige credenciales previas.

Qué pasó

CISA publicó el 6 de octubre de 2026 el aviso ICSA-26-279-03, basado en información reportada por Hitachi Energy, sobre dos vulnerabilidades de acceso no autenticado a servlets en Asset Suite, el producto de gestión de activos empresariales (EAM) de la compañía orientado al sector eléctrico.

Los datos duros que entrega el aviso:

• Producto y alcance: Asset Suite, todas las versiones <= 9.9.0.
• CVEs: CVE-2026-7395 y CVE-2026-11796.
• Severidad: CVSS v3 base 8.1.
• Impacto declarado por el fabricante: potencial pérdida de confidencialidad, integridad y disponibilidad del producto.
• Estado: aviso de remediación del fabricante; CISA no reporta explotación activa conocida.

El texto del aviso que recibimos viene truncado en la fuente original y no especifica la ruta exacta del servlet afectado, el método de explotación paso a paso ni si existe ya un parche disponible. No vamos a inventar esos detalles. Lo que sí es consistente con el nombre de la categoría ('unauthenticated servlet access') es que un atacante podría alcanzar funcionalidad de la aplicación sin pasar por el flujo de autenticación normal, algo típico en aplicaciones Java (WebLogic/Tomcat) mal configuradas o con endpoints de administración expuestos.

Evaluación, confianza media: dado que el aviso agrupa dos CVEs bajo la misma descripción genérica y un único CVSS, es probable que ambas fallas compartan el mismo mecanismo de acceso (dos rutas de servlet distintas con el mismo defecto de autenticación) más que ser dos clases de vulnerabilidad distintas. La alternativa que no podemos descartar es que una de las dos tenga impacto de solo lectura y la otra permita escritura; el aviso no lo distingue.

Por qué importa acá

No tenemos un afectado chileno confirmado y no lo vamos a forzar. Lo que sí es público y verificable es que Hitachi Energy opera comercialmente en Chile prestando equipamiento y servicios de transmisión eléctrica (línea heredada de ABB Power Grids) a actores del Sistema Eléctrico Nacional.

Evaluación, confianza baja: señalamos esto porque Asset Suite está dirigido exactamente a ese tipo de cliente —generadoras, transmisoras, distribuidoras— y no porque tengamos evidencia de que alguna empresa chilena use específicamente este producto. Si tu organización es un operador eléctrico y usa Asset Suite (o su nombre histórico, Indus Asset Suite / Ventyx Asset Suite) para mantenimiento de activos, esta alerta es directamente aplicable y debe tratarse con la misma urgencia que cualquier CVE de borde con CVSS alto.

Si tu organización califica como operador de infraestructura crítica eléctrica bajo la Ley 21.663, y llegaras a confirmar explotación de esta vulnerabilidad, el deber de reporte a ANCI aplica. No citamos plazos específicos aquí porque no los verificamos contra el reglamento vigente; corresponde revisarlos con el equipo legal/compliance antes de que ocurra un incidente, no después.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Si la instancia de Asset Suite está alcanzable desde una red no confiable (incluyendo la red corporativa IT sin segmentación hacia OT), el acceso no autenticado a servlets encaja directamente en esta técnica. Confianza alta en que aplica *si* hay exposición de red; no sabemos si existe tal exposición en ningún caso concreto.
• T1565.001 — El fabricante declara impacto de integridad. En un EAM, eso se traduce en manipulación de registros de activos, órdenes de mantenimiento o inventario — con consecuencia operativa indirecta si esos datos alimentan decisiones de mantenimiento predictivo. Confianza media: el aviso no confirma que la escritura sea posible, solo que hay impacto potencial de integridad.

CVE-2026-7395
CVE-2026-11796

title: Posible acceso no autenticado a servlet de Hitachi Energy Asset Suite
id: 3f29a7d4-6b1e-4c8a-9f2d-7e5b9c1a4f60
status: experimental
description: |
  Detecta solicitudes HTTP a rutas típicas de Asset Suite sin cookie de sesión
  previa (JSESSIONID), patrón conductual consistente con explotación de
  CVE-2026-7395 / CVE-2026-11796. CISA no publicó la ruta exacta del servlet
  vulnerable; esta regla debe ajustarse al endpoint real una vez identificado
  en el entorno del cliente.
references:
  - https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-03
author: Vantis
date: 2026/10/06
tags:
  - attack.initial-access
  - attack.t1190
logsource:
  category: webserver
detection:
  selection:
    cs-uri-stem|contains:
      - '/assetsuite'
      - '/AssetSuite'
      - '/servlet/'
  filter_session:
    cs-cookie|contains: 'JSESSIONID'
  condition: selection and not filter_session
falsepositives:
  - Integraciones API legítimas que no usan cookies de sesión de navegador
  - Escaneos de vulnerabilidad autorizados contra el mismo host
level: medium

index=proxy OR index=web sourcetype=access_combined
(uri_path="*assetsuite*" OR uri_path="*AssetSuite*" OR uri_path="*/servlet/*")
NOT cookie="*JSESSIONID*"
| stats count by src_ip, uri_path, user_agent
| where count > 5

CommonSecurityLog
| where RequestURL has_any ("assetsuite", "AssetSuite", "/servlet/")
| where RequestURL !contains "JSESSIONID"
| summarize Hits = count() by SourceIP, RequestURL, DestinationHostName
| where Hits > 5

Fuentes

• CISAICSA-26-279-03: Hitachi Energy Asset Suite · 2026-10-06
• CISACSAF JSON — icsa-26-279-03 · 2026-10-06

Relacionado