RCE crítica en ActiveMQ expone subestaciones con Hitachi Energy SOI

CVE-2026-34197 (CVSS 8.8) afecta el componente Apache ActiveMQ embebido en las versiones 2.0.0 a 2.2.0 del producto SOI de Hitachi Energy, usado en automatización de subestaciones eléctricas. No hay explotación activa confirmada, pero el historial de ActiveMQ como vector de ransomware sugiere una ventana corta hasta el primer exploit público.

Qué pasó

CISA publicó el 6 de octubre de 2026 el advisory ICSA-26-279-04, basado en un reporte de Hitachi Energy, sobre una vulnerabilidad de ejecución remota de código en el componente Apache ActiveMQ utilizado dentro de su producto SOI (Station/Substation Operator Interface), parte del porfolio de automatización de subestaciones eléctricas.

Dato (fuente: advisory):

• CVE: CVE-2026-34197
• CVSS v3: 8.8
• Producto y versiones afectadas: SOI >=2.0.0 y <=2.2.0
• Vector: RCE en el componente Apache ActiveMQ embebido
• Impacto declarado: confidencialidad, integridad y disponibilidad

El extracto del advisory disponible corta justo antes del detalle de la sección "Recommended Immediate Actions", por lo que no tenemos visibilidad de si Hitachi Energy ya liberó una versión parcheada o si la recomendación inmediata es solo de mitigación. No vamos a inventar ese contenido: quien gestione el activo debe revisar el documento completo (CSAF enlazado en la publicación de CISA) antes de decidir ventana de mantenimiento.

No se especifica en el advisory el mecanismo exacto de explotación (si es deserialización insegura sobre el protocolo OpenWire, un endpoint de administración expuesto, u otro). Tratamos esto como hipótesis, no como hecho: dado que Apache ActiveMQ ha tenido históricamente RCEs explotadas vía OpenWire no autenticado (CVE-2023-46604), es razonable sospechar un patrón similar, pero no está confirmado para CVE-2026-34197.

Por qué importa acá

Hitachi Energy es una de las marcas con mayor presencia histórica en automatización de subestaciones en el Cono Sur, heredera de la división de redes de ABB, que ha provisto equipamiento de protección, control y SCADA a transmisoras y distribuidoras eléctricas de la región.

Evaluación (confianza media): es razonable que algún operador del Sistema Eléctrico Nacional chileno tenga desplegado equipamiento de automatización de subestaciones de este fabricante. Lo que no podemos confirmar con fuentes abiertas es que la línea de producto específica SOI — que parece ser una interfaz de operador relativamente reciente dentro del porfolio — esté instalada en instalaciones chilenas puntuales. Lo que confirmaría esto: un inventario de activos OT del operador o un aviso directo del fabricante a clientes locales. Lo que lo refutaría: que el parque instalado en Chile use otras líneas de HMI del mismo fabricante (p. ej. variantes de MicroSCADA) sin el módulo SOI.

Lo que sí es un hecho verificable, independiente de si hay o no instalaciones confirmadas: cualquier empresa eléctrica calificada como Operador de Importancia Vital (OIV) bajo la Ley 21.663 que identifique este componente en su red de automatización tiene, por defecto, un deber de evaluar y eventualmente reportar el hallazgo a ANCI según los procedimientos vigentes — no citamos plazos específicos porque no los verificamos para este caso puntual, y eso debe resolverse con el equipo de cumplimiento de cada organización.

Nota de corroboración: la herramienta de cruce automático asoció esta pieza con otras dos por coincidir en la palabra "Apache" en el título, y marcó el conjunto como "suficiente para afirmar" con dos fuentes primarias. Al revisar el contenido, ninguna de esas dos piezas trata sobre CVE-2026-34197: una es sobre módulos maliciosos de Apache HTTP Server en sitios gubernamentales brasileños (sin relación con ActiveMQ), y la otra —el reporte de The DFIR Report— documenta explotación de CVE-2023-46604, un CVE distinto del mismo componente, ocurrida en un contexto distinto. Por rigor, no tratamos esto como tres fuentes confirmando el mismo hecho: el único reporte directo de CVE-2026-34197 es el advisory de CISA/Hitachi Energy. El caso de 2023 lo usamos solo como antecedente de cómo se comporta este componente una vez que se publica una RCE, no como confirmación de explotación actual.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Si el broker Apache ActiveMQ embebido en SOI queda expuesto a una red de gestión o corporativa (en vez de aislado en el segmento OT), constituye la superficie que CVE-2026-34197 explotaría para lograr RCE inicial.
• T1210 — En arquitecturas de subestación mal segmentadas, un salto desde la red de TI hacia el segmento de control suele apalancarse en servicios de mensajería expuestos como ActiveMQ; es el mismo patrón documentado en el precedente de 2023.
• D3-NTA — Monitorizar el protocolo OpenWire (puerto 61616) y la consola web (8161) asociados a ActiveMQ permite levantar patrones anómalos aunque no exista todavía firma pública específica para CVE-2026-34197.

title: Posible post-explotacion de RCE en broker Java (Apache ActiveMQ / Hitachi Energy SOI)
id: a1e4c9b2-7f3d-4e8a-9c16-2d5b7f0a3e41
status: experimental
description: Detecta un proceso Java consistente con un broker Apache ActiveMQ que genera un proceso hijo de interprete de comandos, patron de post-explotacion asociado historicamente a RCEs en ActiveMQ (incluido el componente embebido en Hitachi Energy SOI, CVE-2026-34197). No es firma del exploit especifico.
references:
  - https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-04
author: Vantis
date: 2026-10-06
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\java.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\sh.exe'
      - '\bash.exe'
  condition: selection
falsepositives:
  - Tareas administrativas legitimas que invocan scripts desde procesos Java (agentes de monitoreo, actualizadores)
level: high
tags:
  - attack.initial_access
  - attack.t1190
  - attack.lateral_movement
  - attack.t1210

index=sysmon OR index=wineventlog EventCode=1
ParentImage="*\\java.exe"
(Image="*\\cmd.exe" OR Image="*\\powershell.exe")
| table _time, ComputerName, ParentImage, Image, CommandLine
| sort -_time

DeviceProcessEvents
| where InitiatingProcessFileName =~ "java.exe"
| where FileName in ("cmd.exe","powershell.exe","sh","bash")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, InitiatingProcessCommandLine

<rule id="100620" level="12">
  <if_group>audit_command</if_group>
  <field name="audit.exe">^/bin/(ba)?sh$</field>
  <field name="audit.a0">java</field>
  <description>Posible post-explotacion de RCE: proceso java origina shell (Apache ActiveMQ / Hitachi Energy SOI)</description>
  <group>attack_initial_access,attack_t1190,ot_ics</group>
</rule>

Fuentes

• CISAICSA-26-279-04: Hitachi Energy SOI · 2026-10-06
• CISACSAF ICSA-26-279-04 (documento estructurado) · 2026-10-06
• The DFIR ReportApache ActiveMQ Exploit Leads to LockBit Ransomware · 2026-02-23

Relacionado