Los routers Netgear de miles de casas cargan una vulnerabilidad que permite ejecutar comandos con privilegios totales en el equipo, y la propia Netgear ya publicó el firmware que la cierra dentro de un aviso de seguridad con tres fallas en total. Los modelos nombrados son el CAX30, el RAX30, el RAX5, el RAXE300, el RAX28, el RAX29 y los extensores EX3700 y EX6120. El requisito del ataque acota el riesgo sin quitarle peso: el intruso necesita estar dentro de la red local, con la clave del wifi en la mano o apoyado en un equipo ya conectado.
La falla mayor vive en el bloqueo de sitios
La primera vulnerabilidad, registrada como CVE-2026-11732, nace de una validación de entrada insuficiente en Block Sites, la función que bloquea páginas web desde el panel del router. Con esa función activa, un atacante conectado a la red puede colar comandos no autorizados y ejecutarlos con privilegios completos del sistema: control del equipo, de su configuración y del tráfico que pasa por él. La base nacional de vulnerabilidades de Estados Unidos la puntúa con 6,3 en la escala CVSS y la deja en gravedad media, una etiqueta que se queda corta cuando el premio es el aparato por donde entra y sale toda la conexión de la casa.
El alcance concreto son cuatro modelos: CAX30, RAX30, RAX5 y RAXE300. Netgear ya tiene el firmware corregido para cada uno, con versiones mínimas claras: V2.3.4.12 en el CAX30, V1.0.5.34 en el RAX5, V1.0.10.72 en el RAXE300 y V1.0.14.108 en el RAX30. El detalle que decide si la puerta existe o no es el interruptor de Block Sites: con la función apagada, esta vía de entrada no está; con la función encendida y un extraño dentro del wifi, la conversación cambia por completo.
La ficha oficial de la vulnerabilidad lo resume sin adornos: con privilegios completos en la mano, la confidencialidad, la integridad y la disponibilidad del router quedan comprometidas. Y marca la salida temporal para quien no pueda actualizar el mismo día: desactivar Block Sites hasta aplicar el parche y cuidar a quién se le entrega la clave del wifi.
Octubre venía cargado de avisos con el router como protagonista. Días atrás salió a la luz la falla de Broadcom en routers que dejó equipos de varias marcas controlables sin contraseña, un agujero con años de historia y sin arreglo completo a la vista. El caso Netgear corre con mejor suerte en un punto clave: aquí sí hay firmware publicado para los modelos con soporte, y la reparación depende de que el dueño lo instale.
Entrar al panel sin saber la contraseña
La segunda vulnerabilidad, CVE-2026-11731, toca a los RAX28, RAX29 y RAX30. Un fallo de autenticación permite a alguien con acceso local llegar al servicio de administración sin credenciales válidas, consultar información del equipo y modificar ajustes administrativos. Con ese nivel de acceso, un cambio en los servidores DNS del router basta para desviar las visitas de la casa por rutas ajenas, y el dueño ni se entera: las páginas cargan, el wifi funciona y la luz del equipo sigue verde. El arreglo para los tres modelos viaja en el firmware V1.0.15.110 y en las versiones que vengan después.
La tercera, CVE-2026-11730, cae sobre los extensores EX3700 y EX6120, esos aparatos que amplían la señal a los cuartos donde el router principal no llega. El fallo permite secuestrar la sesión de un administrador que ya inició sesión en el equipo, heredando sus permisos sin pedirle la clave. Netgear publicó firmware nuevo para los modelos afectados con soporte vigente y pide instalarlo cuanto antes; los equipos con las actualizaciones automáticas activadas pueden traer el arreglo aplicado sin que nadie haya tocado nada.
Los modelos sin soporte quedan fuera del arreglo
El aviso suma otras fallas de menor peso, entre ellas CVE-2026-9218, CVE-2026-107917 y CVE-2026-107918, y esas tocan equipos que ya salieron del catálogo de soporte: R7000, RAX40 y R7300DST. Para esos no hay firmware en camino. La recomendación de la propia Netgear es retirarlos y pasar a un equipo con soporte activo, y la compañía avisa además que modelos al final de su ciclo, como el RAX5 y el EX3700, dejarán de recibir actualizaciones de seguridad.
Netgear repite en su aviso un consejo que la mayoría de los dueños deja sin activar: encender las actualizaciones automáticas de firmware en los equipos con soporte, para que parches como este se instalen solos en cuanto salen.
El margen para reaccionar existe y tiene fecha de caducidad blanda: los registros de las tres vulnerabilidades principales no muestran evidencia de explotación activa ni de una prueba de concepto pública circulando. Eso no convierte el aviso en papel mojado. La clave del wifi de una casa típica la conocen visitas, técnicos, vecinos de confianza y cualquier teléfono que alguna vez se conectó, y esa clave compartida es justo la llave que estas tres fallas necesitan para abrir.
Fuente: ZDNet
