Vulnerabilidad crítica CVE-2026-11405: Acceso administrativo sin autenticación
Recientemente se ha detectado una vulnerabilidad de extrema gravedad que afecta a múltiples versiones de firmware de la marca Tenda, un fabricante global de dispositivos de red como routers y switches. Identificada como CVE-2026-11405, esta falla consiste en una puerta trasera (backdoor) no documentada que permite a atacantes no autenticados obtener acceso administrativo total a la interfaz de gestión web de los dispositivos.
Análisis técnico: Un fallo en la lógica de autenticación
El problema reside en la función de inicio de sesión del binario del servidor web de Tenda. Según el Centro de Coordinación del CERT (CERT/CC) de la Universidad Carnegie Mellon, el mecanismo de login intenta recuperar un valor de contraseña almacenado en la configuración del dispositivo cuando la autenticación estándar falla.
Lo más alarmante es que el sistema solo valida la contraseña proporcionada por el usuario contra este valor almacenado en texto plano, omitiendo por completo la validación del nombre de usuario. Esto significa que cualquier nombre de usuario funcionará siempre que se utilice la contraseña de la puerta trasera. Este mecanismo no es visible a través de ninguna interfaz administrativa y carece de documentación oficial.
Impacto para las organizaciones
Para una empresa, la explotación de esta vulnerabilidad podría traducirse en un compromiso total de su infraestructura de red local. Un atacante con acceso administrativo puede:
- Modificar configuraciones críticas de red.
- Deshabilitar funciones de seguridad y firewalls.
- Redirigir el tráfico de datos para realizar ataques de interceptación (Man-in-the-Middle).
- Facilitar el movimiento lateral dentro de la red corporativa para desplegar malware o ransomware.
Sin parche oficial: Medidas de mitigación urgentes
Hasta la fecha, el fabricante no ha emitido un parche de seguridad para corregir esta vulnerabilidad, y los intentos de coordinación para una divulgación responsable no han tenido éxito. Ante la ausencia de una actualización de firmware, desde Intedya recomendamos encarecidamente las siguientes acciones preventivas:
- Desactivar la gestión web remota: Asegúrese de que la interfaz de administración del dispositivo no sea accesible desde el internet público.
- Cambiar la dirección IP LAN por defecto: Esto dificulta que los escáneres automatizados localicen y exploten el dispositivo dentro de la red.
- Segmentación de red: Aislar los dispositivos de red críticos de las estaciones de trabajo y servidores sensibles.
Nota adicional sobre dispositivos HP
Paralelamente, se ha informado de una vulnerabilidad similar (CVE-2026-13753) en impresoras de la serie HP Deskjet 2800. Este fallo permite el acceso no autenticado a endpoints de la API, exponiendo credenciales de Wi-Fi y detalles de configuración administrativa. Al igual que en el caso de Tenda, se recomienda extremar las precauciones y limitar el acceso a las interfaces de gestión de estos periféricos.
En el panorama actual, la seguridad de los dispositivos IoT y de red es un pilar fundamental para la continuidad del negocio. La gestión proactiva de vulnerabilidades y el cumplimiento de normativas internacionales de seguridad de la información son las mejores defensas contra amenazas persistentes.
Fuentes
- SecurityWeek — Unpatched Backdoor in Tenda Firmware Grants Admin Access to Devices
https://www.securityweek.com/unpatched-backdoor-in-tenda-firmware-grants-admin-access-to-devices/