Resumen ejecutivo
Moxa ha publicado 2 vulnerabilidades: una de severidad crítica y otra de severidad alta que, en caso de ser explotadas, podrían permitir acceder a credenciales almacenadas en la memoria, modificar el contenido de la memoria, provocar una denegación de servicio (DoS), ejecutar código no autorizado o instalar firmware manipulado de forma persistente.
Recursos afectados
- MGate MB3170 y MB3270, versiones 4.7 y anteriores;
- MGate MB3180, versiones 2.7 y anteriores;
- MGate MB3280, versiones 4.6 y anteriores;
- MGate MB3480, versiones 4.5 y anteriores;
- MGate MB3660, versiones 3.4 y anteriores;
- MGate 5217, versiones 1.5 y anteriores.
- MGate MB3170/MB3270;
- MGate MB3180/MB3280/MB3480;
- MGate MB3660;
- MGate EIP3170/EIP3270;
- MGate 5101-PBM-MN, 5102-PBM-PN, 5103, 5105-MB-EIP, 5109, 5111, 5114, 5118 y 5119;
- MGate 5216 y 5217;
- MGate W5108/W5208, productos fuera de producción.
Análisis técnico
- CVE-2026-86325: vulnerabilidad de desbordamiento de búfer basado en pila en la interfaz de gestión de cuentas. Un usuario autenticado con permisos de solo lectura podría enviar un nombre de cuenta especialmente manipulado. Su explotación podría permitir acceder a información confidencial almacenada en la memoria, incluidas credenciales, modificar la memoria del dispositivo o provocar una denegación de servicio.
- CVE-2026-86326: vulnerabilidad de verificación incorrecta de la firma criptográfica del firmware. Un atacante con privilegios elevados y acceso a la interfaz de actualización podría instalar una imagen manipulada. Su explotación podría permitir ejecutar código no autorizado, alterar el funcionamiento del dispositivo y mantener los cambios maliciosos después de posteriores actualizaciones.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-86325 | Crítica | No | MOXA |
| CVE-2026-86326 | Alta | No | MOXA |
Nota: El valor de explotación de cada vulnerabilidad corresponde al momento de publicación de este aviso. Dicho valor puede haber cambiado en el trascurso del tiempo.
Mitigación / Solución
Actualizar los productos afectados por CVE-2026-86325 a las siguientes versiones:
- MGate MB3170 y MB3270: 4.7.1;
- MGate MB3180: 2.7.1;
- MGate MB3280: 4.6.3;
- MGate MB3480: 4.5.1;
- MGate MB3660: 3.4.5;
- MGate 5217: 1.5.5.
Los parches deben solicitarse al soporte técnico de Moxa.
Para CVE-2026-86326 no se ha publicado una actualización. Moxa recomienda obtener el firmware únicamente desde fuentes oficiales y aplicar las medidas recogidas en las guías de bastionado de las series MGate MB3000 y MGate 5000.