Backdoor Blues: Routers Zyxel expuestos por una falla crítica de ejecución remota de código

Imagina despertar y descubrir que tu red doméstica o empresarial ya no está bajo tu control. Este escenario de pesadilla estuvo peligrosamente cerca de hacerse realidad para miles de propietarios de dispositivos Zyxel, mientras la compañía se apresuraba esta semana a corregir una falla de seguridad crítica que acechaba en el corazón de sus populares routers, ONTs y extensores inalámbricos. La vulnerabilidad, que podría permitir a atacantes tomar el control total de los dispositivos afectados de forma remota, pone de manifiesto cómo una sola función pasada por alto puede poner en riesgo redes enteras.

La falla recién divulgada, identificada como CVE-2025-13942 y con una asombrosa puntuación de 9.8 en la escala CVSS, es una vulnerabilidad de inyección de comandos oculta en la función Universal Plug and Play (UPnP). UPnP está diseñado para facilitar la conectividad de red a los usuarios - pero en este caso, abrió una peligrosa puerta trasera. Mediante el envío de solicitudes SOAP especialmente diseñadas, un atacante remoto podría ejecutar comandos a nivel de sistema, tomando efectivamente el control del dispositivo. ¿La condición? El ataque solo funciona si tanto UPnP como el acceso WAN (lado internet) están habilitados - configuraciones que vienen desactivadas por defecto, pero que no son infrecuentes en implementaciones reales donde la conveniencia supera a la precaución.

El aviso de Zyxel, aunque rápido en señalar las configuraciones seguras por defecto, ofrece poco consuelo a los usuarios que podrían haber expuesto sus dispositivos sin saberlo durante la instalación o la resolución de problemas. Como la historia ha demostrado, las configuraciones predeterminadas rara vez duran mucho en entornos dinámicos, especialmente en redes domésticas y de pequeñas empresas desesperadas por una conectividad plug-and-play.

Pero los problemas no terminan ahí. Junto al error crítico de UPnP, Zyxel corrigió dos fallas adicionales de inyección de comandos de alta gravedad - CVE-2025-13943 y CVE-2026-1459 - que afectan las funciones de archivos de registro y descarga de certificados. Estas requieren que el atacante esté autenticado, pero aún así podrían permitir que usuarios maliciosos internos o cuentas comprometidas ejecuten comandos arbitrarios. Se corrigieron además otras cuatro vulnerabilidades, todas errores de desreferenciación de puntero nulo. Estas podrían permitir a un atacante con acceso de administrador bloquear los dispositivos mediante solicitudes HTTP manipuladas, provocando incidentes de denegación de servicio (DoS).

Zyxel insiste en que no hay evidencia de que alguna de estas vulnerabilidades haya sido explotada en la naturaleza - aún. Pero el historial de la compañía está marcado por incidentes previos en los que actores maliciosos aprovecharon errores similares antes de que los parches pudieran aplicarse ampliamente. El rápido lanzamiento de actualizaciones de firmware para todos los modelos afectados es un paso positivo, pero es una carrera contra el tiempo mientras los atacantes escanean internet en busca de sistemas sin parchear.

En una era en la que routers y gateways forman la columna vertebral de nuestra vida digital, esta última alarma de Zyxel es un recordatorio contundente: incluso las marcas de confianza pueden albergar peligros ocultos. Tanto para usuarios como para administradores de TI, ahora es el momento de revisar configuraciones, actualizar el firmware y pensarlo dos veces antes de habilitar funciones de conveniencia sin comprender los riesgos. En ciberseguridad, la vigilancia es la única solución plug-and-play que realmente funciona.

WIKICROOK

• Ejecución Remota de Código (RCE): La Ejecución Remota de Código (RCE) ocurre cuando un atacante ejecuta su propio código en el sistema de la víctima, lo que a menudo conduce al control total o la vulneración de ese sistema.
• Inyección de Comandos: La Inyección de Comandos es una vulnerabilidad en la que los atacantes engañan a los sistemas para ejecutar comandos no autorizados insertando entradas maliciosas en campos o interfaces de usuario.
• UPnP (Universal Plug and Play): UPnP permite que los dispositivos se descubran y conecten automáticamente en las redes, pero una configuración incorrecta puede crear riesgos de seguridad y permitir el acceso de hackers.
• WAN (Red de Área Amplia): Una WAN conecta redes locales a grandes distancias, permitiendo que las organizaciones compartan datos y recursos de forma segura entre múltiples ubicaciones.
• Denegación: En ciberseguridad, la denegación significa hacer que sistemas o servicios no estén disponibles para los usuarios, a menudo mediante ataques como la Denegación de Servicio (DoS) que los saturan con tráfico.