Una alerta de seguridad crítica advierte sobre una grave vulnerabilidad de contraseña predeterminada que afecta a los dispositivos Support Insights Virtual Lightweight Collector (vLWC). Esta falla permite a atacantes no autenticados y basados en la red obtener control administrativo completo de los dispositivos expuestos de manera sencilla. Registrada formalmente como CVE-2026-33784, esta vulnerabilidad tiene una puntuación casi máxima en el Common Vulnerability Scoring System (CVSS v3.1) de 9.8 sobre 10.

Una alerta de seguridad crítica advierte sobre una grave vulnerabilidad de contraseña predeterminada que afecta a los dispositivos Support Insights Virtual Lightweight Collector (vLWC).

Esta falla permite a atacantes no autenticados, basados en la red, obtener fácilmente el control administrativo completo de los dispositivos expuestos.

Registrada formalmente como CVE-2026-33784, esta vulnerabilidad tiene una puntuación casi máxima en el Common Vulnerability Scoring System (CVSS v3.1) de 9.8 sobre 10.

La puntuación excepcionalmente alta refleja lo fácil que es para los ciberdelincuentes explotar la debilidad de forma remota sin necesidad de acceso previo al sistema ni interacción del usuario.

Comprender la vulnerabilidad

La causa raíz del CVE-2026-33784 es notablemente sencilla, pero altamente peligrosa.

Las imágenes del software Juniper vLWC se envían directamente desde el fabricante con una contraseña inicial preconfigurada vinculada a una cuenta de administrador con altos privilegios.

Normalmente, el aprovisionamiento seguro de software requiere que los administradores cambien las credenciales predeterminadas en su primer inicio de sesión. Sin embargo, el software vLWC no obliga a restablecer la contraseña durante la configuración inicial del dispositivo.

Si un administrador de red olvida actualizar las credenciales manualmente durante la implementación, el dispositivo permanece protegido solo por una contraseña predeterminada de conocimiento público.

Dado que la cuenta vulnerable tiene privilegios de alto nivel, un atacante que inicie sesión con estas credenciales predeterminadas obtiene inmediatamente el control total del sistema.

Esto permite a actores no autorizados interceptar datos, alterar configuraciones de red o usar el colector comprometido como punto de apoyo para lanzar ataques adicionales en la red corporativa más amplia.

Esta falla de seguridad afecta a todas las versiones de Juniper vLWC anteriores a la 3.0.94. Las organizaciones que utilicen versiones antiguas del Virtual Lightweight Collector están en riesgo si sus contraseñas predeterminadas no han sido modificadas.

Afortunadamente para los defensores de la red, el Juniper Security Incident Response Team (SIRT) descubrió este problema internamente durante pruebas de seguridad rutinarias y análisis de productos.

En el momento de la publicación, la compañía no tiene conocimiento de que actores maliciosos estén explotando esta vulnerabilidad en la naturaleza.

Sin embargo, como las contraseñas predeterminadas son increíblemente fáciles de escanear para botnets automatizadas y bandas de ransomware, los administradores deben tratar esto como una amenaza urgente.

Para proteger las redes contra posibles tomas de control, Juniper Networks insta a los administradores a tomar medidas correctivas inmediatas.

Los equipos de seguridad deben aplicar las siguientes soluciones para proteger su infraestructura:

• Actualizar los sistemas vulnerables a la versión 3.0.94 del software vLWC o a cualquier versión posterior, que corrige oficialmente el problema de cumplimiento.
• Iniciar sesión en el menú de configuración del dispositivo a través de la JSI Shell de inmediato si la actualización se retrasa.
• Cambiar manualmente la contraseña administrativa predeterminada por una credencial fuerte y única para bloquear el acceso no autorizado.

Se recomienda a los administradores revisar la documentación oficial de configuración de Juniper para garantizar que sus ajustes de red estén debidamente protegidos contra accesos no autorizados.