Índice de contenidos
Claves de la noticia
- ASUS publica un aviso de seguridad con tres vulnerabilidades de gravedad alta para firmware de la serie 3.0.0.6_102.
- Los fallos permiten operaciones de administrador o ejecutar órdenes con privilegios elevados, pero requieren condiciones de ataque diferentes.
- La marca recomienda instalar el firmware más reciente: limitar la administración remota reduce exposición, pero no sustituye el parche.
ASUS ha publicado este 23 de octubre una actualización de seguridad para sus routers que reúne tres problemas distintos: una falsificación de acceso, una inyección de comandos en equipos en estado de fábrica y otra que depende de engañar a un administrador. El aviso afecta a la serie de firmware 3.0.0.6_102 y pide actualizar. Para comprobar el riesgo resulta más útil mirar las condiciones de cada fallo que quedarse únicamente con su puntuación.
Tres fallos, tres condiciones de entrada
El boletín oficial de ASUS, titulado Security Update for ASUS Router Firmware, agrupa CVE-2026-75775, CVE-2026-75779 y CVE-2026-93489. Los tres registros los publica la propia compañía como autoridad asignadora del programa CVE y atribuyen el hallazgo a MrBruh. Sus notas CVSS 4.0 van de 7,7 a 8,7 sobre diez, dentro de la categoría alta.
La comparación de las descripciones y los vectores publicados permite distinguir tres situaciones que no deben mezclarse. En CVE-2026-93489, un atacante cercano y sin autenticar puede enviar una petición HTTP, falsificar un ticket de acceso y realizar operaciones de administrador. No necesita que el usuario pulse un enlace, según el vector declarado. El problema afecta a la comprobación de identidad, por lo que reforzar una contraseña no repara por sí mismo ese mecanismo.
CVE-2026-75775 permite ejecutar comandos con privilegios root mediante parámetros preparados mientras el router se encuentra en su estado de fábrica. Aunque su descripción emplea la palabra «remoto», ASUS clasifica el vector como de red adyacente y con requisitos adicionales. No equivale a afirmar que cualquier persona en internet pueda atacar cualquier router configurado.
| Vulnerabilidad | CVSS 4.0 | Condición distintiva |
|---|---|---|
| CVE-2026-75775 | 7,7 | Red adyacente; equipo en estado de fábrica |
| CVE-2026-75779 | 8,6 | Administrador conectado que visita una web de engaño |
| CVE-2026-93489 | 8,7 | Red adyacente; falsificación de ticket sin autenticar |
La tabla cruza las descripciones con sus métricas, sin pruebas propias de explotación. La conclusión es concreta: dos fallos dependen de acceso a una red adyacente; el tercero introduce al navegador del administrador en la cadena de ataque. Por eso una única medida sobre la exposición exterior no cubre las tres situaciones documentadas.
Una web maliciosa puede implicar al administrador
CVE-2026-75779 combina inyección de comandos del sistema con falsificación de peticiones entre sitios, conocida como CSRF. ASUS describe un ataque que engaña a un administrador con sesión iniciada para que visite una web de phishing y provoca que el router ejecute comandos con privilegios root. El atacante no necesita aportar credenciales propias, pero sí esa intervención activa de la víctima.
Esta diferencia explica por qué «sin autenticación» no significa siempre «sin participación del usuario». El registro asigna ausencia de privilegios previos al atacante y, al mismo tiempo, interacción activa al administrador. Presentarlo como una toma de control automática desde cualquier página ocultaría una condición decisiva. Tampoco debe confundirse el acceso administrativo del primer fallo con una demostración de ejecución de comandos en todos los casos.
Para quien administra una red doméstica o un pequeño negocio, la consecuencia práctica es revisar tanto quién puede alcanzar el panel como el uso del navegador durante una sesión de gestión. Esa lectura no demuestra que haya ataques en marcha: el boletín consultado no aporta víctimas, una campaña identificada ni cifras de equipos comprometidos. La publicación de un CVE documenta una vulnerabilidad, no acredita por sí sola una intrusión.
La serie del firmware no identifica el parche de cada modelo
ASUS identifica la familia 3.0.0.6_102, pero el aviso no ofrece una tabla de modelos comerciales con un número mínimo corregido para cada uno. Los dos primeros registros escriben la serie como 3.0.0.6.102; el tercero y el boletín utilizan un guion bajo. Esa variación documental no justifica inventar dos familias distintas ni deducir que todos los equipos de la marca estén afectados.
De aquí sale una segunda comprobación útil: el prefijo de la versión sirve para orientar la revisión, pero no basta para certificar que un router concreto ya está protegido. Hay que identificar el modelo y contrastar la actualización disponible en su soporte. No sería riguroso convertir la ausencia de un número de compilación en este boletín en una afirmación de que ASUS no ha publicado correcciones: la empresa dice expresamente que ha lanzado una actualización.
Actualizar y reducir la exposición son tareas complementarias
La guía oficial de actualización del firmware explica las vías automática, desde el panel web y manual. En el panel, la comprobación se encuentra en Administración y Actualización de firmware. La descarga manual debe corresponder al dispositivo concreto. ASUS pide no cortar la alimentación durante el proceso; conviene prever la interrupción de conectividad y seguir las indicaciones de ese modelo.
ASUS Support ofrece este tutorial oficial de actualización, publicado en enero de 2024 y enlazado desde su documentación. Es una guía general sobre los métodos de instalación, no una demostración de estas vulnerabilidades ni una identificación de las versiones corregidas hoy.
Mientras no se pueda actualizar, el aviso recomienda contraseñas únicas y robustas, mantener la gestión web dentro de redes locales de confianza, desactivar su acceso desde la WAN y evitar dispositivos no fiables en la red. También pide revisar dispositivos vinculados o sesiones de aplicaciones desconocidas y reiniciar después de instalar el firmware.
Son medidas de reducción del riesgo, no una garantía de corrección. En España, donde un router propio puede convivir con el del operador, la comprobación debe hacerse sobre el equipo ASUS realmente instalado, sin atribuir el fallo al dispositivo del proveedor por compartir conexión. El criterio de cierre es verificar la actualización del modelo y revisar sus accesos; cambiar solo la clave del Wi-Fi deja sin resolver los defectos de firmware descritos.
