TP-Link ha revelado tres vulnerabilidades de inyección de comandos de severidad alta que afectan a los routers Archer BE800 V1, Archer BE3600 V1 y Archer AX75 V1.

Estos fallos podrían permitir que atacantes cercanos ejecuten comandos arbitrarios con privilegios de root, lo que potencialmente llevaría al compromiso total del dispositivo y a ataques contra otros dispositivos conectados a tu red local.

El aviso de seguridad, actualizado por última vez el 24 de agosto de 2026, identifica los problemas como CVE-2026-9254, CVE-2026-16348 y CVE-2026-78541. TP-Link ha lanzado actualizaciones de firmware para todos los productos afectados y te insta a que las instales rápidamente.

El CVE-2026-9254 es un fallo de inyección de comandos del sistema operativo no autenticado en la función de control parental de los dispositivos Archer BE800 V1, Archer BE3600 V1 y Archer AX75 V1.

Múltiples vulnerabilidades de TP-Link Archer

La vulnerabilidad se debe a un filtrado y neutralización insuficientes de caracteres especiales en ciertos parámetros. Un atacante posicionado en tu red local podría explotar el fallo sin necesidad de iniciar sesión en el router.

Una explotación exitosa permite la inyección y ejecución de comandos arbitrarios del sistema como usuario root, otorgando al atacante el nivel de privilegio más alto en el dispositivo.

El problema tiene una puntuación CVSS v4.0 de 8.7 y está calificado como Alta. TP-Link advirtió que su explotación podría comprometer la confidencialidad, integridad y disponibilidad tanto del router como del tráfico que pasa a través de tu red.

El segundo problema, CVE-2026-16348, afecta a la funcionalidad de conexión VPN de los routers Archer BE800 V1. Es un fallo de inyección de comandos autenticado que requiere acceso administrativo.

Un atacante puede inyectar metacaracteres de shell a través de una conexión VPN y ejecutar comandos con privilegios de root. Aunque la vulnerabilidad requiere un acceso de administrador válido, el impacto sigue siendo grave.

Un ataque exitoso podría permitir que los actores de amenazas establezcan puertas traseras persistentes, roben credenciales, realicen reconocimientos de tu red local y utilicen el router comprometido para atacar otros sistemas conectados. El CVE-2026-16348 tiene una puntuación CVSS v4.0 de 8.5 y una calificación de severidad Alta.

El tercer fallo, CVE-2026-78541, es una vulnerabilidad de inyección de comandos almacenada en el módulo de control parental de los routers Archer BE3600 V1. Un atacante autenticado con acceso administrativo puede crear un nombre de perfil manipulado que contenga metacaracteres de shell.

La entrada maliciosa se almacena en el dispositivo. Esta puede procesarse de forma insegura más tarde, cuando el router genera su informe diario en la nube. Esta ruta de ejecución diferida puede dar lugar a que se ejecuten comandos arbitrarios en tu router.

TP-Link asignó a la vulnerabilidad una puntuación CVSS v4.0 de 8.5. Las versiones de firmware afectadas deben actualizarse a las siguientes versiones corregidas:

Debes descargar el firmware más reciente desde las páginas de soporte regional de TP-Link, confirmar la revisión del hardware instalado antes de actualizar y cambiar las credenciales predeterminadas del administrador.

También deberías restringir la administración del router a dispositivos de confianza, desactivar los servicios de gestión remota innecesarios y supervisar los registros de red en busca de cambios de configuración inesperados o tráfico saliente sospechoso.