Casi 30.000 vulnerabilidades a bordo: crean una base de amenazas específica para la flota marítima

Casi 30 000 vulnerabilidades capaces de afectar a buques y puertos se han reunido en un catálogo abierto. Cydome, ClassNK, Bureau Veritas, MTS-ISAC y Rakuten Maritime lanzaron Blue Initiative, una base de datos gratuita para sistemas IT y OT marítimos. OT aquí significa tecnologías que controlan equipos físicos, incluida la navegación, los motores y la infraestructura portuaria.

Al momento del lanzamiento el índice contaba con 29 523 registros. Entre ellos, 2 006 vulnerabilidades recibieron una calificación crítica CVSS de 9,0 a 10,0, y 588 ya forman parte del catálogo CISA Known Exploited Vulnerabilities, al que la agencia añade problemas con explotación confirmada. Otros 37 registros corresponden a productos desarrollados específicamente para buques, puertos e instalaciones marítimas.

Blue Initiative debe resolver un problema práctico para las flotas y los puertos. Las bases generales contienen cientos de miles de CVE, pero no indican cuáles se relacionan con equipos concretos de embarcaciones. El nuevo catálogo vincula las vulnerabilidades con fabricantes, tipos de sistemas y el entorno marítimo, para que los equipos puedan separar más rápido los problemas relevantes del flujo general de publicaciones.

La base divide los registros en tres niveles. Maritime-Native abarca sistemas especializados de buques y puertos, Shared OT incluye equipos industriales que también se instalan en embarcaciones, y Fleet IT contiene servidores, estaciones de trabajo, equipos de red y otras tecnologías corporativas de la flota. La búsqueda se puede filtrar por fabricante, sistema, gravedad y otros criterios.

Los datos principales proceden de los registros CVE, de los boletines de CISA sobre sistemas industriales y del catálogo KEV. La metodología de Blue Initiative aclara que los registros se publican automáticamente si el fabricante está confirmado y existe al menos una fuente fiable. El análisis manual se añade solo a vulnerabilidades seleccionadas, por lo que la existencia de un registro no implica una verificación individual de cada CVE por una persona.

Un filtro separado muestra los sistemas incluidos en el ámbito de los requisitos IACS UR E26 sobre ciberresiliencia de los buques. La regla se aplica a los buques nuevos cuyo contrato de construcción se haya firmado a partir del 1 de julio de 2024, y abarca el control de motores, el gobierno de la nave, el suministro eléctrico, la navegación y los medios de comunicación obligatorios. El propio catálogo no confirma el cumplimiento del equipo con los requisitos de IACS.

El lanzamiento de la base se produce en un contexto de ataques a la infraestructura marítima. En 2026 ya se han registrado ciberataques a buques con intrusión en redes IT y OT a bordo, y en uno de los casos recientes terceros obtuvieron acceso a un sistema relacionado con el movimiento de un petrolero. Blue Initiative no contiene exploits ni código PoC, y ayuda a buscar puntos débiles relevantes y a elegir correcciones prioritarias.