"Ataque cibernético" coordinado a servicios públicos de agua de los EE. UU.: lo que necesita saber

Un ataque cibernético coordinado interrumpió los sistemas de agua y aguas residuales en al menos 12 estados de los EE. UU., incluidas más de 30 comunidades de Minnesota. Esto es lo que los defensores deben saber sobre el ataque hasta ahora. Las preguntas frecuentes también detallan la actividad cibernética reciente dirigida a PLC con exposición a Internet y cómo proteger la infraestructura expuesta.

Puntos clave

1. Un ataque cibernético coordinado tuvo como objetivo sistemas de agua y aguas residuales; aunque su atribución aún no está confirmada por la investigación federal, el momento coincide estrechamente con la creciente actividad de explotación de PLC afiliada a Irán, documentada en el aviso AA26-097A de la CISA (Agencia de Ciberseguridad y Seguridad de Infraestructura).
2. La actualización del 22 de julio de 2026 del aviso AA26-097A de la CISA amplió el alcance de la explotación de PLC observada para incluir dispositivos de Schneider Electric y Siemens, además de los de Rockwell Automation. Asimismo, documentó la exfiltración de archivos de proyecto por primera vez y agregó orientación de detección para la manipulación de módulos de código reutilizables integrados en programas de PLC.
3. CVE-2021-22681 (CVSS 9.8), una omisión de autenticación crítica en controladores Rockwell Automation Logix sin ningún parche disponible por parte del proveedor, se agregó al catálogo de vulnerabilidades explotadas conocidas de la CISA en marzo de 2026 tras confirmarse su explotación por parte de actores afiliados a Irán.

Antecedentes

El equipo de Research Special Operations (RSO) de Tenable recopiló estas preguntas frecuentes en respuesta al ataque cibernético coordinado a las empresas de servicios de agua de Minnesota y la actualización del 22 de julio de 2026 al aviso AA26-097A de la CISA.

El 9 de abril de 2026, publicamos un artículo completo de preguntas frecuentes sobre CyberAv3ngers, el grupo vinculado al Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC) que se encuentra en el centro de la actividad de explotación de PLC documentada en el aviso AA26-097A de la CISA. Esa publicación cubre la historia del grupo, la escalada de capacidades en cuatro fases, el malware IOCONTROL y un análisis técnico completo de la CVE-2021-22681. Esta publicación aborda lo que cambió desde entonces.

Preguntas frecuentes

¿Qué sucedió con las empresas de servicios de agua en Minnesota?

Entre el domingo 26 de julio y el lunes 27 de julio de 2026, un ataque cibernético coordinado interrumpió las operaciones de los servicios públicos de agua y aguas residuales en más de 30 comunidades en Minnesota. Cuatro ciudades divulgaron públicamente los ataques: Braham, Plymouth, South St. Paul y Maple Plain. Minnesota IT Services describió el incidente como un ataque cibernético coordinado dirigido a la tecnología de los sistemas de agua comunitarios de todo el estado.

En Braham, una comunidad de aproximadamente 1700 habitantes, el ataque inhabilitó los controles operativos computarizados y detuvo temporalmente el pozo y la planta de tratamiento de agua de la ciudad. Las cuadrillas de obras públicas restablecieron el funcionamiento de la planta en aproximadamente dos horas. En Plymouth (con una población de aproximadamente 80 000 habitantes), la división de TI de la ciudad desconectó el equipo conectado a la red celular en dos torres de agua y múltiples estaciones de bombeo de aguas residuales para detener el ataque y evitar otros nuevos mientras se reconfiguraban los equipos. Las cuadrillas continuaron operando mediante procedimientos manuales. South St. Paul informó que algunos controles automatizados de servicios de agua se vieron afectados, mientras que Maple Plain declaró el estado de emergencia local para ampliar sus capacidades de respuesta.

En todos los casos confirmados en Minnesota, los funcionarios estatales señalaron que la calidad del agua potable no se vio afectada y no se emitieron avisos de hervir el agua en el estado. Por separado, la CISA informó el 30 de julio que la campaña más amplia generó avisos de hervir el agua y la operación manual prolongada en los servicios públicos.

¿Hubo otros estados afectados además de Minnesota?

Sí, según se comunicó, al menos 12 estados se vieron afectados de acuerdo con un informe de ABC News publicado el 4 de agosto. El 6 de agosto, CBS News confirmó de forma independiente el alcance de los ataques a 12 estados.

El Buró Federal de Investigaciones (FBI) y la Agencia de Protección Ambiental de los EE. UU. (EPA) señalaron en su anuncio conjunto de servicio público del 30 de julio (Alerta: I-073026-PSA) que, desde el 27 de julio de 2026, las empresas de servicios públicos de agua y aguas residuales en al menos siete estados habían informado incidentes, y que parte de esa actividad había "degradado las operaciones de agua". El FBI declaró que los efectos operativos informados incluyen pérdidas de presión e inundaciones, e identificó a los PLC de las series MicroLogix 1100 y 1400 de Rockwell Automation como los dispositivos objeto del ataque. La PSA no atribuye la actividad a ningún actor específico, y solo se refiere a "actores cibernéticos maliciosos".

Además de Minnesota, se identificaron públicamente cuatro estados como víctimas de los ataques. El Departamento de Medio Ambiente, Grandes Lagos y Energía (EGLE) de Michigan confirmó el 1 de agosto que nueve sistemas municipales de agua informaron actividad coincidente con las advertencias federales. Dakota del Sur se identificó como uno de los estados afectados en los informes de CBS News; no se nombraron públicamente instalaciones específicas. En Georgia, la actividad cibernética provocó una caída de presión en la Autoridad del Agua del Condado de Clayton, lo que motivó un aviso de hervir el agua para los 300 000 clientes de la empresa de servicios públicos de la zona de Atlanta. La autoridad restableció el servicio en cuestión de horas. Columbus Water Works confirmó el 5 de agosto que también había detectado una intrusión cibernética; el agua potable no se vio afectada. Nueva Jersey también se identificó como un estado afectado en los informes de CBS News. Los estados restantes no fueron identificados públicamente como estados afectados por los organismos federales ni tampoco fueron confirmados como tales por parte de funcionarios estatales.

La siguiente tabla resume las entidades afectadas confirmadas públicamente hasta la fecha:

¿Quién está detrás del ataque?

Los funcionarios federales y estatales no atribuyeron públicamente los ataques de Minnesota a ningún actor específico. Sin embargo, el patrón operativo coincide con el ecosistema de amenazas de CyberAv3ngers, un grupo de guerra informática que el gobierno de los EE. UU. atribuyó formalmente al Comando Ciberelectrónico del Cuerpo de la Guardia Revolucionaria Islámica de Irán.

En febrero de 2024, el Departamento del Tesoro de los EE. UU. sancionó a seis funcionarios del IRGC-CEC por dirigir las operaciones de CyberAv3ngers, y el Departamento de Estado del mismo país ofreció hasta USD 10 millones por información sobre el grupo a través del programa Rewards for Justice. La agrupación ha estado activa desde al menos 2020; la comunidad de seguridad le da seguimiento bajo múltiples denominaciones, incluidas Storm-0784 (Microsoft), Bauxite (Dragos), Hydro Kitten, UNC5691 (Mandiant) y el ID de grupo G1027 de MITRE ATT&CK. En abril de 2026, Tenable Research Special Operations publicó unas completas preguntas frecuentes sobre CyberAv3ngers, donde se detalla la historia, las capacidades y el perfil de objetivos del grupo.

El momento en que ocurrieron los ataques de Minnesota es significativo. CISA actualizó el aviso AA26-097A el 22 de julio, apenas cuatro días antes de que comenzaran los ataques, advirtiendo que actores afiliados a Irán habían estado poniendo en riesgo PLC conectados a Internet en los sectores de agua, energía y gobierno de los EE. UU. El aviso documentó interrupciones confirmadas y pérdidas financieras en múltiples organizaciones.

¿Qué cambió en la actualización del 22 de julio de 2026 del aviso AA26-097A de la CISA?

El aviso original, publicado el 7 de abril de 2026, documentó que actores afiliados a Irán explotaron PLC de Rockwell Automation/Allen-Bradley expuestos a Internet para provocar interrupciones en los sectores de servicios gubernamentales, de energía, y de agua y aguas residuales. La CISA confirmó que ocurrieron interrupciones en organizaciones afectadas desde al menos marzo de 2026. Se realizaron tres adiciones significativas a la actualización del 22 de julio.

El aviso amplió su alcance para incluir ataques observados contra PLC de Schneider Electric y Siemens, además de los dispositivos de Rockwell Automation. La actualización también documentó una nueva táctica de exfiltración: mediante el uso de software de ingeniería de proveedores (Studio 5000 Logix Designer de Rockwell Automation, EcoStruxure Control Expert de Schneider Electric y TIA Portal de Siemens) en infraestructura alquilada y hospedada por terceros, se observó a los actores extrayendo archivos de proyecto de PLC de los entornos de las víctimas y transfiriéndolos a sistemas bajo su control. Por último, la actualización proporcionó orientación de detección para la manipulación de Add-On Instructions (AOI), módulos de código reutilizables integrados en programas de PLC. El FBI observó que, en una de las organizaciones víctimas del ataque cibernético, un archivo de proyecto malicioso conservaba el lenguaje Ladder descendente habitual mientras insertaba AOI modificadas que deshabilitaban los sistemas de alarma y paralización de seguridad. Los actores también manipularon datos en las pantallas de HMI y SCADA, lo que permitió que los equipos funcionaran en condiciones inseguras sin alertar a los operadores.

Junto con la actualización, se publicó un nuevo conjunto de indicadores de vulneración que abarca direcciones IP asociadas con la actividad del actor desde septiembre de 2025 hasta julio de 2026. El aviso hace referencia directa a los ataques observados dirigidos a PLC BMX P34/Modicon M340 de Schneider Electric y PLC S7-1200 de Siemens, y señala que la actividad en los puertos asociados con protocolos de otros proveedores de OT sugiere ataques oportunistas más amplios que van más allá de los fabricantes mencionados.

¿CISA emitió nuevas alertas o avisos después de que se informaron los ataques?

Sí. El 30 de julio de 2026, la CISA publicó una alerta para todo el sector en la que instaba a la industria de sistemas de agua y aguas residuales a proteger la tecnología operativa contra la actividad en curso dirigida a los PLC. Esta alerta es distinta del aviso AA26-097A de la CISA (actualizado por última vez el 22 de julio). No menciona a ningún país ni grupo y se enfoca en mitigaciones inmediatas.

La CISA informó que estaba observando un aumento significativo de actores de amenazas que tenían como objetivo controladores lógicos programables en el sector de sistemas de agua y aguas residuales, y describió actores que modificaban contraseñas para bloquear a los operadores y desconectaban PLC al cambiar sus direcciones IP. Esa actividad provocó avisos de hervir el agua y periodos prolongados de operación manual en los servicios públicos afectados.

¿Cómo evolucionó CyberAv3ngers con el tiempo?

CyberAv3ngers demostró una escalada de capacidades deliberada a lo largo de cuatro fases documentadas:

En la Fase Uno (2020–2022), el grupo operó como una entidad de propaganda y se atribuyó la responsabilidad de interrupciones de infraestructura en Israel que luego se determinó que eran inventadas. DomainTools Investigations demostró que varias afirmaciones reutilizaban imágenes de filtraciones de datos anteriores.

En la Fase Dos (octubre de 2023–enero de 2024), el grupo puso en riesgo al menos 75 PLC de la serie Unitronics Vision en los Estados Unidos, Israel, el Reino Unido e Irlanda al explotar contraseñas predeterminadas en dispositivos expuestos a Internet. La Autoridad Municipal del Agua de Aliquippa, Pensilvania, fue la víctima de más alto perfil.

En la Fase Tres (2024–2025), el grupo desplegó IOCONTROL, una plataforma de malware desarrollada a medida para dispositivos IoT y OT. OpenAI reveló en octubre de 2024 que CyberAv3ngers había utilizado ChatGPT como apoyo para el reconocimiento de objetivos y la depuración de código.

En Fase Cuatro (marzo de 2026 al presente), el grupo pasó a explotar la CVE-2021-22681, una omisión de autenticación crítica en controladores Rockwell Automation Logix. Los atacantes se conectaron a PLC expuestos a Internet desde proveedores de hosting extranjeros utilizando el mismo software de ingeniería del fabricante (Studio 5000 Logix Designer) que emplean los operadores legítimos. Una vez conectados, descargaron y modificaron los archivos de proyecto de los controladores y alteraron los datos de visualización de los operadores. La actualización del aviso del 22 de julio amplió los fabricantes afectados para incluir los PLC de Schneider Electric y Siemens junto con los de Rockwell Automation.

¿Qué vulnerabilidad se está explotando?

El aviso AA26-097A de la CISA no menciona ID de CVE específicos. El aviso describe el método de acceso como la explotación de PLC con errores de configuración y expuestos a Internet a través del software de ingeniería del proveedor, en lugar de identificar una falla de software específica. La vulnerabilidad más directamente asociada con la explotación documentada es la CVE-2021-22681, identificada mediante investigaciones externas como una deficiencia de autenticación que habilita la Fase Cuatro de la campaña de explotación de PLC afiliada a Irán, y agregada al catálogo de vulnerabilidades explotadas conocidas de la CISA en marzo de 2026.

A continuación se incluyen tres CVE adicionales pertinentes para la plataforma ControlLogix de Rockwell Automation como contexto defensivo para las organizaciones que refuercen estos entornos:

*CVE-2024-6242: La puntuación CVSS 3.x de 8.4 fue asignada por el proveedor (Rockwell Automation); la NVD le asigna una puntuación CVSS 4.0 de 7.3.

CVE-2021-22681 es una omisión de autenticación crítica en el ecosistema de controladores Rockwell Automation Logix causada por una clave criptográfica insuficientemente protegida que se utiliza para verificar la comunicación entre Studio 5000 Logix Designer y los PLC Logix. Cualquier entidad que pueda obtener o interceptar esa clave puede hacerse pasar por software de ingeniería legítimo y obtener acceso directo no autenticado a los controladores afectados. Para obtener el análisis técnico completo de esta vulnerabilidad, consulte nuestras preguntas frecuentes del 9 de abril.

CVE-2023-3595 afecta a los módulos de comunicación ControlLogix de las series 1756 EN2 y EN3. La explotación mediante mensajes CIP manipulados con fines maliciosos podría permitir que un atacante remoto no autenticado ejecute código arbitrario y mantenga acceso persistente, incluida la modificación de la memoria del controlador. No se confirmó que esta CVE haya sido explotada en relación con la campaña AA26-097A; se incluye porque el hardware afectado es fundamental para la plataforma ControlLogix que está siendo objeto de ataques.

CVE-2024-6242, identificada por Claroty Team82, afecta a la función Trusted Slot en el chasis Rockwell Automation 1756 ControlLogix. La explotación permite que un atacante que ya se encuentra en el chasis ejecute comandos CIP que omitan las protecciones de Trusted Slot, lo que podría modificar los proyectos del usuario. No se confirmó que esta CVE haya sido explotada en relación con la campaña AA26-097A y se incluye a fin de brindar contexto para el endurecimiento de las implementaciones de ControlLogix.

¿Se explotó CVE-2021-22681 como una vulnerabilidad de día cero?

No. CVE-2021-22681 se divulgó originalmente en febrero de 2021 y se mitigó en ese momento. Sin embargo, la explotación en un entorno real no se confirmó hasta marzo de 2026, cuando Rockwell Automation actualizó su aviso (SD1672) para indicar una explotación activa. La brecha de cinco años entre la divulgación y la explotación confirmada refleja el desafío persistente de colocar parches en entornos de OT, donde la continuidad operativa a menudo tiene prioridad sobre las actualizaciones de seguridad.

¿Hay algún parche disponible?

No. Rockwell Automation declaró que CVE-2021-22681 no puede solucionarse por completo con un parche de software. No hay ninguna actualización para implementar ni ningún ciclo de parches que esperar. En su lugar, Rockwell indica a los clientes que apliquen mitigaciones de defensa en profundidad, incluida la segmentación de red, el aislamiento de estaciones de trabajo de ingeniería, la habilitación de CIP (Common Industrial Protocol) Security y el endurecimiento de los switchs de modo físico.

Este es un detalle operativo fundamental para los equipos de gestión de vulnerabilidades: las organizaciones que dependen de flujos de trabajo de corrección basados en parches no resolverán esta vulnerabilidad mediante sus procesos estándar. Los controles de arquitectura son la única ruta de corrección disponible.

¿Existen indicadores de riesgo?

Sí. CISA publicó un paquete de indicadores actualizado en formato STIX junto con la revisión del aviso del 22 de julio, que abarca las direcciones IP asociadas con la actividad de actores afiliados a Irán que tuvieron como objetivo a los PLC desde septiembre de 2025 hasta julio de 2026. Los indicadores históricos del aviso del 7 de abril también siguen siendo válidos. Ambos conjuntos están disponibles para su descarga en la página del aviso AA26-097A.

Los defensores pueden monitorear el tráfico entrante en los puertos 44818 (EtherNet/IP), 2222 (SSH), 102 (S7comm), 502 (Modbus) y el puerto 22 en módems conectados a OT, particularmente desde rangos de IP hospedados en el extranjero. La CISA señaló que en al menos un incidente, los atacantes desplegaron Dropbear SSH en los módems de las víctimas para mantener un acceso remoto persistente a través del puerto 22. Las conexiones inesperadas a las interfaces de gestión de PLC desde estaciones de trabajo no registradas o infraestructura en el extranjero ameritan una investigación, al igual que las modificaciones no autorizadas de archivos de proyecto de PLC o los cambios en AOI que ocurran fuera de las ventanas de mantenimiento documentadas.

¿Tenable Research clasificó estas vulnerabilidades como parte de Vulnerability Watch?

Sí. Tenable Research clasificó a la CVE-2021-22681 como parte de Vulnerability Watch. Monitoreamos activamente la actividad de explotación, damos seguimiento a los nuevos acontecimientos y actualizaremos esta publicación a medida que haya información adicional disponible.

¿Qué tan grande es la superficie de exposición?

El análisis de Censys realizado en abril de 2026 identificó 5219 hosts expuestos a Internet a nivel global que respondían a protocolos industriales y se autoidentificaban como dispositivos de Rockwell Automation/Allen-Bradley. Estados Unidos representa el 74,6 % de la exposición global, con 3891 hosts. Una parte desproporcionada de estos dispositivos funciona en redes de operadores celulares. Esto coincide con los PLC implementados en el campo que están conectados mediante módems celulares, que es precisamente el vector de ataque descrito en el incidente de Plymouth, Minnesota.

La naturaleza sistémica de esta exposición se extiende más allá de los dispositivos Rockwell. La EPA advirtió en 2024 que más del 70 % de los sistemas de agua de los EE. UU. no estaban cumpliendo con una disposición de una ley de 2018 que les exigía desarrollar o actualizar evaluaciones de riesgos y planes de respuesta a emergencias. Una auditoría de 1000 sistemas de agua que prestan servicio a 193 millones de personas encontró 97 sistemas con vulnerabilidades críticas o de alto riesgo. Estados Unidos cuenta con entre 150 000 y 170 000 sistemas de agua, muchos de ellos pequeños, ubicados en zonas rurales y con recursos de ciberseguridad limitados.

¿Por qué las pequeñas empresas de servicios de agua siguen siendo objeto de ataques?

CyberAv3ngers puso en riesgo repetidas veces a pequeñas empresas de servicios públicos de agua e instalaciones municipales, y el patrón es estructural más que una coincidencia. Muchas de estas organizaciones administran sus entornos de OT con herramientas de acceso remoto de consumo, como TeamViewer o AnyDesk, o mediante la exposición de las interfaces de administración de los PLC directamente a la Internet pública. Estos métodos de acceso omiten por completo los controles de seguridad empresariales, lo que crea una superficie de ataque que es invisible para el monitoreo de seguridad convencional.

El problema se agrava debido a una segmentación de red inadecuada entre los entornos de IT y OT. Cuando un PLC es accesible desde la misma red que los servidores de correo electrónico y las estaciones de trabajo de los empleados, el radio de ataque de cualquier vulneración se extiende mucho más allá del punto de entrada inicial. Las pequeñas empresas de servicios públicos suelen carecer de personal dedicado a la seguridad de OT y operan con presupuestos limitados que dificultan la implementación de una arquitectura de seguridad integral.

¿Existe un contexto geopolítico más amplio?

Sí. Estados Unidos e Irán están en conflicto armado activo desde que la Operación Furia Épica comenzó, el 28 de febrero de 2026. Las operaciones cibernéticas iraníes se intensificaron en paralelo con las hostilidades cinéticas, con ataques confirmados dirigidos a la infraestructura crítica de los Estados Unidos. En junio de 2026, los ataques estadounidenses a lo largo de la costa sur de Irán destruyeron una instalación de agua cerca del estrecho de Ormuz, lo que interrumpió el acceso al agua de más de 20 000 iraníes. Al día siguiente, el grupo de amenazas Handala (vinculado al Ministerio de Inteligencia y Seguridad de Irán) afirmó haber vulnerado los sistemas de servicios de agua en varias ciudades de California como advertencia de represalias.

Las técnicas de explotación de CyberAv3ngers también proliferaron en más de 60 grupos hacktivistas afiliados que adoptaron su manual de estrategias, coordinados a través de una "Sala de Operaciones Electrónicas" establecida al inicio del conflicto. Estos grupos delegados replican las técnicas de explotación de ICS de CyberAv3ngers y crean una amenaza distribuida que persiste incluso si el grupo principal se debilita. Esta proliferación aumenta el riesgo de consecuencias físicas no deseadas por parte de aquellos operadores que pueden carecer de la disciplina o del conocimiento necesarios para controlar los efectos de la manipulación de PLC.

¿Qué deberían hacer las organizaciones?

Las organizaciones que operan PLC expuestos a Internet, en particular dispositivos de Rockwell Automation, Schneider Electric y Siemens, pueden seguir estos pasos:

1. Desconectar los PLC de la exposición directa a internet. Cualquier controlador Rockwell Logix accesible desde Internet se puede explotar a través de la CVE-2021-22681 sin autenticación, y no existe ningún parche del proveedor. Por separado, el anuncio de servicio público del FBI y la EPA identifica a los PLC de las series MicroLogix 1100 y 1400 como objetivos específicos en esta campaña mediante un método diferente: los actores acceden de forma remota a los dispositivos MicroLogix expuestos a Internet y cambian sus direcciones IP y contraseñas, lo que provoca la pérdida de monitoreo y controles. Estos dispositivos también deben retirarse de la exposición directa a Internet. Si el acceso remoto es operativamente necesario, implemente una puerta de enlace segura con autenticación multifactor. Esta es la acción de corrección individual de mayor impacto.
2. Colocar los switches de modo físico en "Run". Esto evita la modificación remota de la lógica y las configuraciones de los PLC, bloqueando la técnica de impacto principal documentada en el aviso AA26-097A de la CISA.
3. Incorporar los IOC del aviso actualizado AA26-097A de la CISA. Descargue los indicadores de vulneración en formato STIX de la actualización del aviso del 22 de julio de 2026 e impleméntelos en plataformas de SIEM, IDS y firewall. Monitoree el tráfico en los puertos 44818, 2222, 102, 22 y 502 proveniente de proveedores de hosting en el extranjero.
4. Implementar la segmentación de redes IT/OT. Aísle las estaciones de trabajo de ingeniería que ejecutan Studio 5000 Logix Designer, EcoStruxure Control Expert y TIA Portal de los segmentos de red no confiables. Implemente listas de permitidos para que solo las estaciones de trabajo autorizadas puedan comunicarse con los controladores.
5. Auditar las conexiones celulares de la OT. El ataque en Plymouth tuvo como objetivo específico la infraestructura con conexión celular. Verifique que todos los PLC con conexión celular se encuentren detrás de firewalls de puerta de enlace con registro de actividad. Reemplace los módems celulares de consumo por gateways celulares industriales compatibles con túneles VPN y autenticación multifactor.
6. Hacer una copia de seguridad fuera de línea de toda la lógica y las configuraciones de los PLC. Almacene las copias de seguridad en medios físicos seguros y pruebe los procedimientos de restauración. Las TTP documentadas de CyberAv3ngers incluyen el robo de archivos de proyecto de PLC y la manipulación del lenguaje Ladder, lo que convierte a las copias de seguridad fuera de línea en el mecanismo de recuperación que puede utilizarse como último recurso.

¿Tenable publicó alguna cobertura de productos para estas vulnerabilidades?

Hay un plug-in de Tenable disponible para la CVE-2021-22681, actualizado por última vez en junio de 2026. Tenable One OT Exposure detecta esta vulnerabilidad en entornos de controladores Rockwell Automation Logix. Los clientes de Tenable con Tenable Security Center o Tenable One Vulnerability Management pueden utilizar la política de escaneo OT Recon para identificar activos de Rockwell Automation.

Puede encontrar una lista de plug-ins de Tenable para estas vulnerabilidades en las páginas individuales de las CVE a medida que se publiquen:

• CVE-2021-22681
• CVE-2023-3595
• CVE-2024-6242

Este enlace mostrará todos los plug-ins disponibles para estas vulnerabilidades, incluidos los próximos plug-ins, en nuestro Plugins Pipeline (Pipeline de Plug-ins).

Los clientes de Tenable pueden usar Tenable One Exposure Management Platform para identificar los activos de Rockwell Automation afectados en su entorno y priorizar la corrección según el contexto de explotación activa documentado en esta publicación. Tenable One OT Exposure proporciona visibilidad especializada hacia entornos de sistemas de control industrial, incluida la detección de PLC expuestos a internet y la evaluación de vulnerabilidades.

Obtenga más información

• Anuncio de servicio público de FBI/EPA: Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing PLCs (Actores cibernéticos maliciosos atacan PLC expuestos a Internet del sector de agua y aguas residuales) (30 de julio de 2026)
• CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs (CISA insta al sector de sistemas de agua y aguas residuales a proteger la OT contra actividades dirigidas a PLC) (30 de julio de 2026)
• Aviso AA26-097A de la CISA: Iranian-Affiliated Cyber Actors Exploit PLCs Across US Critical Infrastructure (Actores cibernéticos afiliados a Irán explotan PLC de la infraestructura crítica de los EE. UU.) (actualizado el 22 de julio de 2026)
• Minnesota IT Services: MNIT activates statewide cybersecurity response to support affected communities and protect critical infrastructure (MNIT activa una respuesta de ciberseguridad a nivel estatal para apoyar a las comunidades afectadas y proteger la infraestructura crítica)
• StateScoop: Coordinated cyberattack disrupts water utilities in 30+ Minnesota communities (Ataque cibernético coordinado interrumpe los servicios públicos de agua en más de 30 comunidades de Minnesota)
• CyberAv3ngers: Preguntas frecuentes sobre el grupo de amenazas vinculado a Irán que ataca la infraestructura crítica (texto en inglés)
• Aviso AA23-335A de la CISA: IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors (Actores cibernéticos afiliados al IRGC explotan PLC en múltiples sectores) (actualizado en diciembre de 2024)
• Rewards for Justice: CyberAv3ngers
• Operation Furia Épica: posibles operaciones de contraofensiva cibernética iraníes
• Cyber Retaliation: Analyzing Iranian Cyber Activity Following Operation Epic Fury (texto en inglés)
• Operation Epic Fury: Why exposure data changes everything about Iran's cyber-kinetic campaign (texto en inglés)

Únase al equipo de Tenable Research Special Operations (RSO) en Tenable Connect para seguir debatiendo sobre las últimas amenazas cibernéticas.

Obtenga más información sobre Tenable One, la plataforma de gestión de exposición para la superficie de ataque moderna.