ASUS ha publicado el 1 de octubre de 2026 dos avisos por una vulnerabilidad en routers ASUS. Afectan al firmware de sus equipos de red. El más grave, CVE-2026-14157, tiene una puntuación de 9,4 sobre 10 en CVSS 4.0 y permite ejecutar comandos si alguien con acceso de administrador sube un archivo de configuración VPN manipulado. El segundo, CVE-2026-13313, puntúa 8,9 y usa código de depuración que seguía activo para encender Telnet y lanzar órdenes con privilegios de root. La compañía pide actualizar ya el firmware y no importar perfiles VPN de origen dudoso.
En España el aviso importa porque los routers ASUS —RT, TUF, ROG y ZenWiFi— son habituales en hogares y pymes que compran en tiendas como PcComponentes o Amazon. No hace falta que el equipo esté expuesto a internet: basta con que alguien entre en la interfaz de administración, o convenza a quien administra el router de que cargue un archivo. ASUS no ha dicho si estos fallos se han usado en ataques reales.
Qué ha confirmado ASUS
Los boletines salieron el 1 de octubre de 2026 en el canal oficial de avisos de ASUS, hacia las 11:00 hora de Taiwán (sobre las 5:00 en España). El registro CNA es ASUSTeK Computer Incorporation y la referencia pública apunta al aviso de seguridad de ASUS. El detalle operativo está en el feed RSS de boletines, que ese día también incluía un parche de BIOS para placas base, ajeno a estos routers.
El boletín de CVE-2026-14157 describe un fallo en la interfaz web de gestión. Un atacante remoto ya autenticado puede subir un archivo de configuración de cliente VPN preparado para ejecutar comandos arbitrarios en el router. El registro CVE lo clasifica como uso de una cadena de formato controlada desde fuera. El vector CVSS 4.0 es AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H: red, baja complejidad, privilegios altos y sin interacción adicional, con impacto alto en el router y en sistemas posteriores.
El boletín de CVE-2026-13313 habla de un fallo distinto en cierto firmware. Un atacante remoto autenticado puede ejecutar comandos con privilegios elevados. El registro CVE precisa que se trata de código de depuración activo (CWE-489): una petición HTTP manipulada salta controles, activa Telnet y permite órdenes con root, con posible efecto en otros dispositivos conectados al router. El vector es AV:N/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. La complejidad de ataque es alta, a diferencia del fallo del archivo VPN.
ASUS recomienda en ambos casos instalar de inmediato el firmware más reciente, disponible en soporte de ASUS o en la ficha de cada producto de redes. No publica en el boletín una lista de modelos ni el número de versión corregida. Quien quiera saber si su equipo está cubierto tiene que mirar la serie de firmware y comprobar si hay una actualización posterior al aviso.
Qué series de firmware están afectadas
ASUS no enumera referencias comerciales. Los registros CVE sí fijan series:
| CVE | Gravedad | Qué hace | Series afectadas |
|---|---|---|---|
| CVE-2026-14157 | 9,4 crítica | Archivo VPN de cliente manipulado, subido por la web de gestión, ejecuta comandos | 3.0.0.6_102 |
| CVE-2026-13313 | 8,9 alta | Petición HTTP que activa Telnet de depuración y comandos con root | 3.0.0.4_386, 3.0.0.4_388 y 3.0.0.6_102 |
La serie 3.0.0.6_102 es la rama reciente de Asuswrt en routers Wi-Fi 6 y Wi-Fi 7 de las gamas RT, TUF Gaming, ROG Rapture y ZenWiFi. Las series 3.0.0.4_386 y 3.0.0.4_388 corresponden a generaciones anteriores, todavía presentes en casas que no han cambiado el router. Eso no convierte a un RT-AC68U o un RT-AC86U concretos en equipos afectados: solo indica que, si su firmware pertenece a una de esas series y no se ha actualizado después del aviso, entra en el perímetro que describe el CVE.
El requisito de privilegios altos cambia el relato. No es un agujero que cualquier visitante de internet pueda abrir sin contraseña. Hace falta sesión de administrador, o engañar a quien la tiene. ASUS lo dice en el boletín de Telnet: un atacante puede usar ingeniería social para que el administrador ejecute órdenes que hablen con la interfaz de gestión. También pide una contraseña de administración de al menos 10 caracteres, con mayúsculas, números y símbolos, distinta de la del Wi-Fi.
Por qué un archivo .ovpn es un vector
Muchos routers ASUS hacen de cliente VPN. El usuario entra en la interfaz, abre la sección VPN —en firmware reciente, VPN Fusion—, elige OpenVPN y sube el archivo .ovpn del proveedor. Así una tele, una consola o un decodificador salen a internet por la VPN sin instalar software. Es cómodo y, con este fallo, es también el sitio donde meter un archivo preparado.
El riesgo no está en la VPN del móvil ni en la app del operador. Está en el archivo que se importa al router. ASUS pide importar solo configuraciones de fuentes de confianza y no usar archivos compartidos en foros, recibidos por mensaje o que no se puedan verificar. Encaja con el criterio que ya explica Bitzeta al comparar una VPN gratis y una de pago: el archivo de configuración es parte de la confianza, no un adjunto inocuo.
Tom’s Hardware detalló el 3 de octubre que el archivo manipulado se sube por la web de gestión y que el parche de Telnet cierra código de depuración que permitía activar el servicio. Cybernews, el 2 de octubre, señaló que el fabricante no indica si hay explotación en circulación. Esa ausencia no es una prueba de que nadie lo haya usado: es un dato que el aviso no cubre.
Qué puede pasar si el router queda comprometido
Un router con comandos arbitrarios deja de ser solo la caja del Wi-Fi. Quien lo controla puede cambiar DNS, redirigir tráfico, abrir persistencia en el firmware o espiar lo que pasa por la red. El CVE de Telnet lo dice de forma explícita: las órdenes con root pueden afectar a otros dispositivos conectados. En un piso con móviles, portátiles y un televisor, el router es el punto común.
El acceso remoto a la administración agrava el caso, aunque el CVE exige autenticación. Si la web de gestión está abierta a internet y la contraseña es débil o reutilizada, el privilegio alto deja de ser una barrera real. ASUS recomienda, además del parche, no ejecutar scripts ni herramientas de origen desconocido en equipos de la red local.
Para modelos en fin de soporte, el boletín de CVE-2026-13313 remite a la lista de productos de red en fin de vida. Ahí no hay firmware nuevo. La mitigación que ofrece ASUS es una contraseña fuerte y única en el acceso al router y en el Wi-Fi. No es equivalente a un parche.
Cómo comprobarlo y actualizar en España
El camino más corto es la app ASUS Router o la interfaz web, normalmente en 192.168.50.1 o 192.168.1.1. En Administración, o en el apartado de firmware, aparece la versión. Si empieza por 3.0.0.6.102, 3.0.0.4.386 o 3.0.0.4.388, el equipo está en una serie citada. La comprobación útil es si existe una versión posterior al 1 de octubre de 2026.
La actualización puede lanzarse desde la propia interfaz, si el router llega a los servidores de ASUS, o descargando el archivo en la página de soporte e instalándolo en local. Conviene anotar la configuración, o exportarla, antes de flashear: algunas actualizaciones reinician ajustes. Después hay que confirmar que la administración remota sigue desactivada si no se usa, que la contraseña de admin no es la de fábrica y que no hay perfiles VPN que no se recuerde haber creado.
INCIBE lleva meses avisando de fallos en routers de otras marcas —D-Link, TP-Link, MikroTik, Acer— en su seguimiento de avisos sobre routers. El caso ASUS no aparece, a fecha de este artículo, como alerta propia de INCIBE. El criterio práctico es el mismo: el firmware del router es una actualización de seguridad, no una mejora opcional.
Qué queda sin confirmar
ASUS no ha publicado la lista de modelos ni la versión exacta que corrige cada fallo. Tampoco ha dicho si hay explotación activa. No hay, en los boletines, un indicador de compromiso para que el usuario sepa si ya le han entrado. Quien haya importado un .ovpn de un foro en las últimas semanas no puede descartar el incidente solo con mirar el número de firmware: tendría que revisar perfiles VPN, usuarios de administración y, si el modelo lo permite, registros.
El siguiente paso razonable es el que marca el propio aviso: firmware nuevo, archivos VPN solo del proveedor y contraseña de administración distinta de la del Wi-Fi. Si el modelo está en la lista de fin de soporte, el parche no va a llegar.
Deja una respuesta