Seis CVE críticas en 26 horas: routers Oray y un YesWiki abierto

Seis CVE críticas en 26 horas y ni un parche del fabricante para cinco de ellas. Los registros vieron la luz entre la tarde del domingo 25 y la mañana del lunes 26 de octubre de 2026, y el reparto es tan desigual como revelador: cinco apuntan al mismo router, el Oray Pugongying X5 Pro en su versión 7.6.1, y la sexta deja al descubierto una wiki YesWiki que responde a cualquiera sin pedir credenciales.

El binomio Oray YesWiki de esta jornada no comparte sector ni modelo de distribución, y aun así repite el mismo patrón de fondo. Las cinco del router son inyecciones CRLF: alguien mete un salto de línea dentro de un valor que acaba escrito en un archivo de configuración o en una línea de comandos, y el equipo interpreta lo que viene detrás como una orden nueva. Dos avisos alcanzan 9,9 sobre 10 y los otros tres se quedan en 9,1, todos con exploit de prueba de concepto ya publicado.

El detalle que cambia la conversación es el privilegio. Las dos notas más altas exigen una sesión de usuario de bajo privilegio y las tres restantes piden acceso de administrador, así que ningún atacante anónimo ejecuta comandos por la cara. En YesWiki ocurre lo contrario: un único GET sin credenciales sirve para leer los hashes de contraseña de la base de datos y para dejar el servidor sin hilos con una llamada SLEEP(). El fabricante del router calla mientras la wiki ya tiene versión corregida.

Cinco valores que acaban en la configuración del equipo

Los cinco avisos comparten forma y difieren en el sitio donde el salto de línea hace daño. El patrón se repite: el programa confía en una cadena que alguien escribe desde la consola de gestión y la pega sin analizar en un archivo o en una llamada al sistema.

Ninguno de los cinco registros de Oray incluye una versión corregida ni una nota sobre el arreglo publicado, y la ficha del producto sigue señalando a la 7.6.1 como la única versión afectada de la gama.

Ser2net publica un puerto serie por la red y su parámetro `regmsg` es el texto que se envía al abrir la conexión. El exploit de prueba demuestra que un salto de línea dentro de ese banner permite sobrescribir archivos existentes en el equipo, porque el texto termina leyéndose como una directiva más, como confirma CVE-2026-116231. El mismo truco funciona con la comunidad de SNMP, la cadena que hace de contraseña de lectura y escritura: con un salto de línea dentro, el demonio acaba ejecutando órdenes como root, el resultado que documenta CVE-2026-116232.

Los otros tres llegan a la misma raíz por caminos menos llamativos. Dnsmasq recibe el tiempo de concesión DHCP en `rent_time` y lo escribe en su configuración, de modo que el valor inyectado añade opciones al servicio que reparte direcciones en la red local. El `secproto` de la política IPsec y el `Username` de L2TP terminan en `/etc/ipsec.conf` y en la autenticación de la VPN, y los dos exploits publicados hablan de ejecución de código como root.

Cuando 9,9 no es peor que 9,1

La diferencia entre los cinco avisos no está en el impacto, que en todos toca confidencialidad, integridad y disponibilidad, sino en quién llega hasta el parámetro. Las dos notas de 9,9 piden un usuario autenticado, aunque sea de bajo privilegio, mientras que las tres de 9,1 exigen sesión de administrador. Ninguna se dispara desde internet sin credenciales previas, y las cinco llevan cambio de ámbito, ese factor que sube la nota porque el fallo compromete algo más que el propio programa.

El riesgo real se mide por la superficie de administración expuesta. Un panel accesible desde fuera de la red local convierte un 9,1 en urgencia, y cerrado a la red interna se queda en tarea de mantenimiento.

Hasta este lunes no consta explotación confirmada de ninguno de los cinco ni entrada en el catálogo de vulnerabilidades explotadas que mantiene la agencia de ciberseguridad estadounidense. El fabricante recibió el aviso antes de la publicación y no contestó, y tampoco hay parche ni mitigación intermedia para la versión afectada.

YesWiki, la falla que no necesita credenciales

La sexta CVE viene de otro mundo y con otra prisa. La API pública de búsqueda de entradas Bazar acepta los parámetros `query` y `searchfields` para nombrar los campos sobre los que se busca. Ese nombre viaja sin validar hasta un alias entre acentos graves en la consulta SQL, y el único filtro aplicado es `mysqli_real_escape_string`, una función pensada para literales de texto que escapa comillas y barras invertidas pero no el acento grave, el carácter con el que MySQL abre y cierra identificadores.

Con un solo GET sin autenticación, un nombre de campo que incluya ese acento grave cierra el alias e inyecta una subconsulta. El aviso del proyecto describe lectura completa de la base de datos, con los hashes de contraseña entre los datos alcanzables, y agotamiento de hilos mediante `SLEEP()`, según recoge CVE-2026-116207. La nota de 9,1 cuenta bien el alcance: confidencialidad y disponibilidad altas, integridad nula, porque la inyección lee y bloquea pero no escribe.

Un volcado de hashes abre la puerta a ataques de diccionario contra cuentas que la gente reutiliza en otros servicios, y esa lección ya se vio en el repaso a los fallos de seguridad de Ledger y las filtraciones que los rodearon. Rotar contraseñas y cerrar sesiones abiertas es el primer movimiento.

El registro tiene una curiosidad que conviene mirar antes de correr. El aviso del proyecto lleva publicado desde el 9 de octubre y la versión corregida, la 4.7.0 o la alpha4 de la rama 5.0, existe desde esa fecha; el CVE llegó el domingo 25. Los rangos tampoco coinciden del todo, porque el aviso arranca en la 4.6.7 y el registro en la 4.6.0, así que conviene tomar la lista más amplia, la que publica GHSA-ccp2-6q93-hggh.

¿Qué puede hacer un administrador sin parche?

Para las cinco de Oray no hay mitigación documentada, y el registro reconoce que no constan contramedidas, con la sustitución del equipo como salida sugerida. Lo que queda es reducir la exposición a mano y asumir que el firmware no se mueve esta semana.

• Localizar cualquier X5 Pro en la versión 7.6.1 y comprobar si su panel de administración responde desde fuera de la red local.
• Cerrar los servicios que nadie use, en especial SNMP, L2TP, la política IPsec y el puerto que expone Ser2net.
• Mover el equipo a una red de gestión separada y quitar la consola de cualquier ruta alcanzable desde internet.
• Revisar los registros en busca de directivas nuevas en `/etc/ipsec.conf`, comunidades SNMP alteradas o concesiones DHCP con opciones que nadie configuró.

En YesWiki el camino es más corto y más aburrido. Actualizar a la 4.7.0, o a la alpha4 si alguien vive en la rama 5.0, cierra la inyección, y restringir el acceso anónimo a la API de Bazar mientras se prepara el despliegue reduce la ventana de exposición.

El router que nadie va a parchear esta semana

La escena se repite cada pocas semanas en el tramo barato del hardware de red: un fallo crítico, un exploit público y un fabricante que no contesta al analista, como ocurrió con los dos fallos del wifi propietario de Broadcom que se quedaron sin parche en buena parte del parque instalado, donde la corrección de 2018 cubrió solo una parte del problema.

El caso Oray YesWiki deja la misma pregunta sobre la mesa, con una diferencia de fondo entre las dos mitades. La wiki es software libre, tiene versión corregida y su comunidad parchea en días, así que el fallo caduca para quien actualiza. El router es una caja cerrada que solo cambia cuando el fabricante publica firmware, y esta vez no ha publicado nada, de modo que la decisión del cliente no es cuándo parchear sino cuánto tiempo más deja ese equipo al mando de su red.