Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración de datalogger industrial y ruta web que alcanza un archivo.

Qué se ha confirmado

INCIBE publicó el 7 de octubre el aviso INCIBE-2026-714 y calificó la vulnerabilidad como de importancia alta.

El recurso afectado indicado en el aviso es SenNet Datalogger serie 200 V7.0m-1.53h, hardware destinado a monitorización y control de edificios comerciales e industriales.

La vulnerabilidad CVE-2026-5703 tiene una puntuación base CVSS v4.0 de 7.1 y está clasificada como CWE-35.

En el portal web del dispositivo, un usuario autenticado puede leer archivos o listar directorios alcanzables por la cuenta del sistema que ejecuta el servidor web.

El mecanismo descrito consiste en modificar la URL para introducir una secuencia de path traversal; el aviso señala como consecuencia posible el acceso a archivos críticos con información confidencial.

Satel Iberia ha corregido la vulnerabilidad en la versión V7.2a, según INCIBE.

Análisis de Defensops

El acceso previo al portal es una condición importante: el aviso no describe una lectura anónima. Sin embargo, una cuenta con permisos reducidos en la aplicación podría alcanzar archivos que el propio servidor web puede leer, fuera de las rutas previstas por la interfaz. El impacto dependerá de cómo esté configurado el dispositivo y de los permisos efectivos de ese proceso; no debe presentarse como acceso ilimitado a todo el sistema.

La función del equipo en edificios comerciales e industriales hace especialmente útil localizarlo en el inventario y revisar desde qué redes se administra. El aviso documenta exposición de información, no alteración del control de edificios ni ejecución de código. La prioridad de respuesta cambia si el portal es accesible desde redes amplias, si existen cuentas compartidas o si los registros muestran solicitudes de rutas anómalas.

Prioridades de revisión

Localizar los SenNet Datalogger serie 200 y registrar versión instalada, ubicación de red y cuentas que pueden entrar en su portal web.

Planificar la actualización a V7.2a y verificar después en cada equipo que la versión corregida está instalada y que el portal sigue funcionando como se espera.

Hasta actualizar, limitar el acceso al portal a usuarios y redes que lo necesiten; revisar cuentas compartidas o antiguas y retirar las que ya no sean necesarias.

Examinar registros disponibles del portal y de los equipos de red que lo protegen en busca de solicitudes con rutas de retroceso; si aparecen indicios, determinar qué archivos eran legibles por el proceso web y proteger cualquier dato sensible afectado.

Qué no se ha confirmado

El aviso no identifica equipos comprometidos ni aporta evidencia concreta de explotación en una instalación determinada.

No especifica qué archivos sensibles están presentes ni qué registros conserva cada despliegue; ambas cuestiones requieren verificación local.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-07.