El Wavlink WL-WN530BE1-A quedó expuesto por la CVE-2026-120198, una falla de inyección de comandos con nota 10 sobre 10, exploit público y ningún parche publicado. El registro de la vulnerabilidad salió este 1 de noviembre y lo firma VulDB como autoridad de numeración: el fallo vive en la función con_check_read_finish del archivo /protocol.csp y se activa manipulando el argumento group_name y la cabecera IP-FROM. Traducido a lenguaje llano: quien alcance el aparato desde la red puede ordenarle ejecutar comandos propios, sin cuenta, sin contraseña y sin que el dueño toque nada.
Ese vector, publicado en el registro, lo deja en blanco y negro. Ataque por red, complejidad baja, privilegios requeridos: ninguno. Interacción del usuario: ninguna. El impacto marcado abarca confidencialidad, integridad y disponibilidad en nivel alto, y la letra E:P del vector confirma que ya circula una prueba de concepto funcional. Wavlink recibió aviso temprano de la falla, consta en el propio registro, y aun así la casilla de versión corregida amaneció vacía.
Un aparato barato con las llaves de la casa
El WL-WN530BE1-A no es un equipo de laboratorio. Es el router BE3600 con WiFi 7 que Wavlink vende para casas y oficinas pequeñas: doble banda con 688 Mbps en 2,4 GHz y 2.882 Mbps en 5 GHz, un puerto WAN gigabit y tres LAN gigabit, modos de router, punto de acceso y repetidor. Un aparato así concentra el tráfico completo de una vivienda: teléfonos, computadoras, televisores, cámaras y todo aparato conectado pasa por sus manos. Comprometer el router equivale a sentarse en el centro de esa red con permiso para mirar, redirigir y atacar al resto de equipos desde adentro.
La comparación con el caso de los routers Netgear vulnerables con parche oficial marca la diferencia incómoda de esta historia. Netgear publicó correcciones para sus tres fallas; aquí no hay firmware nuevo que instalar. CVEFeed, que recoge el registro completo de la CVE-2026-120198, limita su recomendación a actualizar el firmware cuando exista y a restringir el acceso remoto al aparato. OffSeq, que vigila tráfico de ataques con su red de sensores Mirage, anota dos datos que conviene leer juntos: la falla no entró en el catálogo de vulnerabilidades explotadas de CISA, la agencia de ciberseguridad de Estados Unidos, y sus sensores no registran ataques contra ella por el momento. Eso baja la alarma inmediata, no el riesgo: el exploit ya es público y cualquier escaneo masivo lo puede incorporar en días.
El mismo modelo acumula fallas en protocol.csp
Ese mismo archivo ya cargaba avisos de octubre. El día 20 quedó registrada la CVE-2026-113802, otra inyección de comandos sin autenticación en /protocol.csp, esa vez en el manejador ovpn_file: un atacante remoto falsificaba la cabecera IP-FROM con la dirección local 127.0.0.1, saltaba el inicio de sesión y ejecutaba comandos como root, el usuario con control total del sistema. Una semana antes, el 13 de octubre, la CVE-2026-109109 había destapado un desbordamiento de memoria en la exportación de ajustes del mismo modelo, con nota 9,3 y exploit también público. Tres registros en menos de tres semanas, todos sobre el firmware V251117.
La racha no se limita a un modelo de la casa. El mismo 1 de noviembre apareció la CVE-2026-120197, con nota 9,9, contra el WL-WN530HG4B de la misma marca: inyección de comandos del sistema operativo en la rutina port_forward del script wapi.cgi, la pieza que gestiona la apertura de puertos. Dos aparatos distintos, dos fallas de la misma familia en un solo día. El patrón apunta a una causa concreta: entradas del usuario que llegan a funciones del sistema sin limpieza previa, un error de programación clásico que una auditoría de código seria caza antes de que el producto salga a la venta.
Qué hacer si ese router está en tu red
La revisión empieza por el modelo y el firmware: la etiqueta del aparato y su panel de administración dicen si se trata del WL-WN530BE1-A con V251117. Con ese dato confirmado, la medida inmediata es cerrar toda administración remota y dejar el panel solo al alcance de la red local. Nadie fuera de la casa necesita entrar a configurar el router, y con un exploit público circulando, cada puerto de gestión abierto a internet es una invitación escrita.
El segundo movimiento es de contención. Ese router puede seguir dando servicio en una red de invitados o en un segmento separado, lejos de la computadora del trabajo, del almacenamiento con documentos y de las cámaras. Cambiar la contraseña de administración por una larga y distinta a la del WiFi no arregla la falla, pero corta el abuso de credenciales repetidas que acompaña a casi todo compromiso de red doméstica. Y toca vigilar la página de descargas de Wavlink: el arreglo, cuando llegue, saldrá ahí, porque la marca no ha publicado aviso propio sobre esta CVE.
Queda una decisión franca para quien lo compró hace poco. Un router con tres vulnerabilidades graves registradas en tres semanas y sin un solo parche publicado compite mal contra cualquier modelo de precio parecido con soporte activo. El WL-WN530BE1-A trabaja bien sobre el papel, con WiFi 7 y puertos gigabit por poco dinero; el problema es que su fabricante no ha demostrado la misma velocidad para corregir. Mientras el firmware V251117 siga sin sucesor, cada día con ese aparato al frente de la red es una apuesta a que nadie lo escanea primero.
Fuente: CVEFeed
