ASUS ha lanzado una actualización de seguridad urgente para ASUS Control Center Enterprise (ACC) después de que varios investigadores descubrieran una vulnerabilidad de severidad máxima que permite a atacantes remotos tomar el control administrativo completo de la plataforma y de cada dispositivo que esta gestiona, sin necesidad de una contraseña ni de cualquier interacción por tu parte.

Identificada como CVE-2026-75754, el fallo tiene una puntuación CVSS 4.0 de 10.0, la calificación más alta posible, lo que refleja la facilidad con la que puede ser explotado a través de una red y el alcance catastrófico de lo que un atacante puede lograr una vez que esté dentro.

Vulnerabilidad de ASUS Control Center

La vulnerabilidad proviene en realidad de una cadena de tres debilidades independientes que actúan en conjunto. ASUS Control Center carece de autenticación en una función crítica, lo que significa que cualquier persona que pueda acceder al servicio a través de la red puede activar ciertas operaciones sensibles.

Esa brecha se ve agravada por un fallo de falsificación de petición del lado del servidor (SSRF), que permite a un atacante enviar una solicitud HTTP especialmente diseñada para engañar al sistema y obligarlo a exponer su propia clave de cifrado. Una vez recuperada esa clave, un servicio local en el host habilita automáticamente un receptor SSH en el puerto TCP 2222, abriendo efectivamente una puerta trasera oculta en la máquina.

La pieza final de la cadena es, posiblemente, la más dañina: ASUS Control Center contiene credenciales codificadas directamente en el software. Los atacantes que obtengan la clave de cifrado pueden usar estas credenciales fijas para iniciar sesión directamente en el puerto SSH recién abierto y obtener una consola root completa, el nivel más alto de acceso al sistema disponible en la máquina.

Desde ahí, los intrusos pueden leer, modificar o eliminar cualquier dato almacenado en el ACC y, debido a que la plataforma está diseñada para gestionar centralmente flotas de servidores, PCs y estaciones de trabajo, una sola instancia de ACC comprometida puede dar a los atacantes el control remoto de todo un entorno informático corporativo.

El fallo afecta a todas las versiones de ASUS Control Center Enterprise hasta la 4.0.0.2 inclusive. ASUS te insta a que, si tu organización utiliza este software, actualices inmediatamente a la versión 3.1.0.9 o posterior, y confirma que hay más detalles sobre la solución publicados en su página oficial de avisos de seguridad.

Si tu empresa no puede aplicar el parche de inmediato, deberías aislar las interfaces de gestión de ACC de las redes públicas, bloquear el tráfico entrante y saliente en el puerto 2222 y auditar los hosts en busca de receptores SSH inesperados como medida de protección provisional.