Linksys E1700, Edimax BR-6208AC y Wavlink: 17 críticas sin parche

Entre el 11 y el 13 de octubre se publicaron en NVD 17 fallas críticas en routers, puntos de acceso y cámaras IP de los que hay en cualquier oficina chica: Linksys E1700, Edimax BR-6208AC, Wavlink, Netcore NR268, TRENDnet, D-Link DCS-930L y TOZED X300.

Lo que las distingue no es el puntaje. Es que para ninguna de las 17 hay una corrección publicada, y que en 11 de las 17 la ficha dice que el fabricante fue contactado y no respondió de ninguna manera. Eso cambia el consejo: acá no sirve "actualizá el firmware", porque no hay firmware nuevo al que pasar.

Cuántas son y por qué 3 días no es el ritmo normal

Lo primero que hice fue medir si esto es una tanda real o el ritmo habitual de publicación, porque es fácil confundir las dos cosas.

La medición dice que sí es una tanda: 17 de las 21 críticas de este tipo de los últimos 2 meses se publicaron en estos 3 días, el 81%. El 12 de octubre, 12 de las 20 críticas del día fueron de estos equipos. En la ventana completa de 2 meses hubo 241 críticas de todo tipo, y las de estos equipos aparecieron en apenas 5 de los 40 días que tuvieron alguna.

Pero conviene entender de dónde salen, porque eso explica la forma de la tanda. Las 17 las registró VulDB como autoridad de numeración, y el puntaje de las 17 lo puso VulDB en la escala CVSS 4.0: ninguna tiene puntaje propio de NVD. Son hallazgos de investigadores independientes sobre equipos baratos, publicados juntos. No es que los equipos se hayan vuelto vulnerables esta semana; es que el hallazgo llegó al catálogo esta semana.

Eso no las hace menos ciertas, y hay un dato que las vuelve urgentes de todos modos.

Para ninguna de las 17 hay parche

Las cifras del diagrama son el centro de la nota, así que vale desglosarlas.

Ninguna de las 17 tiene referencia de parche ni de aviso del fabricante. Lo verifiqué sobre las etiquetas de las referencias de cada ficha: no hay una sola marcada como corrección ni como aviso de fabricante. Las referencias apuntan al repositorio del investigador y a VulDB, nada más.

En 15 de las 17 la ficha declara que el exploit ya es público. Acá tuve que contar con cuidado, porque VulDB redacta esa frase de nueve maneras distintas —"el exploit se divulgó públicamente", "el exploit ya es público", "el exploit fue publicado"— y dos fichas la traen en una segunda oración, después de otra que solo habla de explotación remota. Mi primer conteo automático dio 5 y estaba mal; el número, leyendo las 17 fichas, es 15. Las dos que no lo dicen son la de TOZED X300 y una de Netcore NR268.

En 5 de las 17 la propia ficha agrega que la falla "solo afecta a productos que el fabricante ya no sostiene": la de TRENDnet y las cuatro de Edimax BR-6208AC. Para esas cinco, la pregunta de cuándo sale el parche ya tiene respuesta.

Las 17 son de vector de red y 9 no requieren ninguna credencial. Las otras 8 piden alguna, que en un router de estos suele significar el usuario del panel de administración.

Las 17 fallas están en la administración del equipo, no en la señal wifi

Este es el dato que decide si te toca o no, y es el que más conviene entender.

Las 17 fallas están en direcciones del panel de administración del equipo: /goform/formAutoFWupgrade en el Edimax, /goform/ssid1MACFilter en el Linksys, /cgi-bin/ExportAllSettings.cgi en el Wavlink. Siete de las 17 son inyección de comandos del sistema operativo, que es la clase que termina en control del equipo.

Y de ahí sale la pregunta que importa: si ese panel se alcanza desde internet o solo desde la red interna. Es la misma distinción que en las fallas de los switches Zyxel que solo se explotan desde la red local: no cambia la gravedad de la falla, cambia cuánta gente puede intentarla.

Que aparezcan muchas fallas juntas en un mismo equipo tampoco es inédito, y conviene no leerlo como que el equipo "se rompió" de golpe: pasó lo mismo con las diez fallas del componente de VPN de WatchGuard Firebox. Cuando alguien se sienta a revisar un componente en serio, encuentra varias de una vez.

¿A quién afectan las 17 fallas de routers de octubre?

A quien tenga uno de estos equipos haciendo de router, punto de acceso o cámara en una oficina, un local o una sucursal chica. Los modelos y versiones exactos de las fichas:

• Linksys E1700, versión 1.0.0.4.003 — 5 CVE, la mayor concentración de la tanda: CVE-2026-108892, CVE-2026-108893, CVE-2026-108894, CVE-2026-108895 y CVE-2026-108896.
• Edimax BR-6208AC, versión 1.32 — 4 CVE, las cuatro declaradas sobre producto sin soporte: CVE-2026-108914, CVE-2026-108915, CVE-2026-108917 y CVE-2026-108918.
• Netcore NR268, versión 1.7.121109 — 2 CVE: CVE-2026-108907 y CVE-2026-108929.
• Wavlink WL-WN530BE1-A (versión 251117) y WL-WN592AX6 (versión 250422) — 3 CVE entre los dos: CVE-2026-109108, CVE-2026-109109 y CVE-2026-109110.
• TRENDnet TEW-751DR, TEW-752DRU y TEW733GR, versiones 1.03B01 y 1.03B03 — 1 CVE: CVE-2026-108804, también declarado sobre producto sin soporte.
• D-Link DCS-930L, versión B1.08B4 — 1 CVE, que es una cámara IP: CVE-2026-108971.
• TOZED X300, hasta la 6.01.3 — 1 CVE, con el puntaje más alto de la tanda: CVE-2026-108576, 10,0 asignado por VulDB, inyección de comandos sin credenciales.

Si lo que tenés a mano es un número de CVE que te reportó un escáner y no el modelo del equipo, esa lista sirve al revés: buscá el número ahí y te dice de qué equipo habla.

El perfil es bastante claro: equipos de entre USD 20 y USD 100, comprados hace años, que siguen andando y por eso nadie los mira. Dos de los modelos de la tanda tienen versiones fechadas en 2025 —el Wavlink WL-WN530BE1-A en la 251117 y el WL-WN592AX6 en la 250422—, así que no todo es hardware de hace una década. Es el mismo problema de fondo que las cinco fallas viejas que CISA sumó la semana pasada, y que el soporte de Microsoft que vence justamente hoy: software que sigue funcionando no es lo mismo que software sostenido.

¿Quién puede ignorar el aviso de Linksys E1700 y Edimax BR-6208AC?

Quien no tenga ninguno de los siete modelos nombrados, que es la mayoría. Esta tanda es específica: son modelos concretos en versiones concretas, no familias enteras.

Quien tenga el equipo únicamente como punto de acceso detrás de otro router, sin administración remota y en una red separada de las máquinas de trabajo, tiene el riesgo acotado a quien ya esté adentro de esa red. No desaparece, pero deja de ser una urgencia del día.

Quien tenga uno de estos equipos sin ninguna conexión a internet —una cámara en una red aislada, por ejemplo— puede bajar la prioridad, siempre que "aislada" sea un hecho verificado y no una suposición.

Lo que no alcanza para ignorarlas: que el equipo tenga una contraseña de administrador fuerte. Nueve de las 17 no piden credencial alguna, así que la contraseña no entra en juego. Y tampoco alcanza que el modelo "nunca dio problemas": estas fallas son nuevas en el catálogo, no nuevas en el equipo.

¿Cómo sé si el panel de mi Linksys o Edimax se alcanza desde internet?

Tres pasos, y el primero resuelve la mayoría de los casos:

1. Identificá el equipo. La marca y el modelo están en la etiqueta de abajo o atrás, y la versión de firmware aparece en la pantalla de inicio del panel de administración. Compará con la lista de arriba: si el modelo no está, terminaste.
2. Mirá si la administración remota está activada. En el panel se llama "Remote Management", "Administración remota" o "Acceso desde WAN", y suele estar en la sección de administración o de sistema. Lo normal es que venga desactivada; el problema aparece cuando alguien la activó para poder entrar de afuera y nunca la apagó.
3. Comprobalo desde afuera, no desde la oficina. Desde una conexión que no sea la de la oficina —datos del celular, por ejemplo—, probá entrar a la dirección IP pública de la oficina. Si aparece la pantalla de inicio del router, el panel está expuesto. Si no responde, no lo está. Hacerlo desde la red interna no sirve: desde adentro siempre responde.

Para saber si ya lo usaron, en estos equipos no hay mucho registro donde mirar, y conviene ser honesto al respecto. Las señales posibles:

• Configuración que cambió sin que nadie la cambiara: servidores DNS distintos de los que pusiste, reglas de redirección de puertos nuevas, una cuenta de administración que no reconocés.
• El equipo reiniciándose solo o quedándose sin responder, que es el síntoma típico de las cinco fallas de desborde de memoria.
• DNS raro es la señal más valiosa de todas: cambiar el DNS del router es la forma más silenciosa de aprovechar uno de estos equipos, porque redirige el tráfico de toda la oficina sin tocar ninguna computadora.
• Una cuenta de administración agregada en el equipo, que es exactamente lo que se vio en las fallas de firmware de MikroTik RouterOS: el atacante no necesita volver a usar la falla si se dejó un usuario propio.

Ninguna de las 17 figura en el catálogo de explotadas de CISA, así que no hay indicadores publicados que buscar. Esto es revisión general.

¿Qué hago si tengo un Linksys E1700 o un Edimax BR-6208AC?

El orden importa, porque la opción "actualizar" no está disponible:

1. Apagá la administración remota si está activada. Es gratis, tarda un minuto y es lo único que corta la exposición desde internet hoy mismo. Si hace falta entrar al equipo desde afuera, que sea por una conexión privada y no abriendo el panel, como plantea la guía de acceso remoto.
2. Buscá firmware nuevo una vez, para confirmar. Entrá al sitio de soporte del fabricante con el modelo exacto. Según las fichas no hay corrección para ninguna de las 17, y en cinco casos el producto ya no tiene soporte, pero vale confirmarlo vos: si apareció firmware con fecha posterior al 13 de octubre, aplicalo. Si el último firmware tiene 3 años o más, eso ya es la respuesta.
3. Si no hay firmware, decidí entre reemplazar o aislar. Reemplazar un router de oficina chica cuesta bastante menos que un incidente, y es la única solución real cuando el fabricante no contesta. Si no se puede ahora, el equipo pasa a una red separada de las máquinas de trabajo y sin administración remota.
4. Dejá anotado el modelo, la versión y la fecha de la revisión. La próxima tanda va a llegar igual, y la mitad del trabajo de hoy fue averiguar qué equipo hay.
5. Si el equipo es el que da internet a toda la oficina, sumá una revisión de los DNS configurados y de las redirecciones de puertos. Son las dos cosas que un atacante cambia primero y las dos que nadie mira nunca.

Los términos técnicos están en el glosario, y las opciones para entrar a la red de la oficina sin dejar paneles expuestos, en la sección de VPN y acceso remoto.

Una aclaración sobre el alcance de esta nota. Los puntajes de las 17 los puso VulDB, no NVD ni los fabricantes, y eso conviene tenerlo en cuenta al comparar con otras fallas: no hay una segunda opinión sobre la severidad, como sí hay cuando NVD o el fabricante también puntúan. Tampoco verifiqué los hallazgos técnicos por mi cuenta: lo que verifiqué es qué dicen las 17 fichas, cuántas tienen parche, cuántas declaran exploit público y cuántas dicen que el producto ya no tiene soporte. Y por una cuestión de criterio, no enlazo ni describo los repositorios con los exploits, aunque las fichas los listen.

Preguntas frecuentes sobre las 17 fallas de routers de octubre

¿Por qué no hay parche para ninguna de las 17 fallas?

Porque son equipos baratos de ciclo corto, y en 11 de las 17 fichas consta que el fabricante fue contactado antes de la divulgación y no respondió de ninguna manera. En 5 de las 17 la ficha agrega que el producto ya no tiene soporte del fabricante, así que para esos el parche no va a llegar. Verifiqué las referencias de las 17 fichas una por una: ninguna tiene una referencia marcada como corrección ni como aviso de fabricante.

Si no hay parche, ¿sirve de algo cambiar la contraseña del router?

Para estas fallas puntuales, poco: 9 de las 17 no requieren ninguna credencial, así que la contraseña no participa. Para las otras 8, que piden algún acceso, una contraseña fuerte y distinta de la de fábrica sí suma. Conviene hacerlo igual porque protege contra otras cosas, pero no se puede presentar como la solución a esta tanda. Lo que corta la exposición desde internet es apagar la administración remota.

¿Tengo que reemplazar el router ya mismo?

Depende de una sola cosa: si el panel de administración se alcanza desde internet. Si la administración remota está activada, apagala hoy y eso baja mucho la urgencia; después planificá el reemplazo con calma. Si no está activada y el equipo está detrás de otro router, el riesgo queda limitado a quien ya esté dentro de la red, y el reemplazo puede entrar en el presupuesto del trimestre. Un equipo sin soporte del fabricante igual tiene fecha de vencimiento.

¿Por qué el puntaje lo pone VulDB y no NVD?

Porque VulDB es la autoridad de numeración que registró estos 17 CVE, y la autoridad que registra es la que asigna el puntaje inicial. En las 17 fichas el puntaje está en CVSS 4.0 y la fuente es VulDB; ninguna tiene todavía un puntaje propio de NVD. Eso es normal en fallas recién publicadas, y es un dato que vale conocer: cuando hay dos puntajes suelen diferir, y acá hay uno solo.

Tengo una cámara IP D-Link vieja, ¿corre el mismo riesgo?

La falla de esta tanda es específica de la D-Link DCS-930L en la versión B1.08B4, así que lo primero es ver si tu modelo y versión coinciden. Dicho eso, el criterio general sí aplica a cualquier cámara IP vieja: son equipos con un panel web, de ciclo de soporte corto, que casi nunca se actualizan. La regla práctica es que una cámara no debería ser alcanzable desde internet ni estar en la misma red que las computadoras de trabajo, con falla publicada o sin ella.