D-Link ha lanzado una actualización de firmware para corregir fallos críticos de control de acceso y divulgación de información que afectan a su router DIR-X1860Z.

Las vulnerabilidades podrían permitir que un atacante no autenticado conectado a la red local cambie la contraseña del administrador del router y recupere detalles de la configuración inalámbrica, incluidas las credenciales de Wi-Fi.

Los problemas de seguridad se revelaron en el aviso de D-Link SAP10513, publicado el 26 de agosto de 2026. La empresa indicó que recibió el informe original del investigador de seguridad Lim Kar Joon el 18 de agosto de 2026.

El producto afectado es el D-Link DIR-X1860Z (versión no estadounidense), revisión de hardware A1 que ejecuta el firmware V1.0.2.220120.165402. Las vulnerabilidades existen en la interfaz de gestión JSON-RPC ubus basada en OpenWrt del router.

La interfaz está expuesta a través del puerto TCP 23355 y el endpoint /ubus, donde el servicio routerd del dispositivo gestiona las operaciones privilegiadas de administración del router. El primer problema involucra el método routerd.passwd_set.

Fallos del Router D-Link

Según D-Link, el método podría ser llamado sin la autenticación adecuada en el firmware vulnerable. Un atacante que ya tenga acceso a la red local de la víctima podría potencialmente establecer una nueva contraseña de administrador para el router.

Después de cambiar la contraseña, el atacante podría utilizar el proceso normal de inicio de sesión del router para obtener una sesión de ubus administrativa autenticada.

Esto proporcionaría el control sobre las funciones de gestión del dispositivo y podría permitir realizar más cambios en la configuración del router, los servicios de red, las reglas de acceso a los dispositivos conectados y otras configuraciones administrativas.

El segundo fallo es un problema de divulgación de información en la misma interfaz de gestión ubus. D-Link afirmó que los métodos routerd expuestos podrían permitir que usuarios no autorizados recuperen información de la configuración inalámbrica.

Las funciones afectadas son routerd wificfg_get y routerd.get_rand_key. Al interactuar con esos métodos, un atacante en la red local podría potencialmente recuperar datos de configuración de Wi-Fi, incluidas las credenciales inalámbricas.

Las contraseñas de Wi-Fi robadas podrían permitir que un atacante mantenga el acceso a la red, se reconecte más tarde o comparta las credenciales con otros usuarios no autorizados.

D-Link clasificó los hallazgos como control de acceso inadecuado, autorización inadecuada y divulgación de información. No se ha asignado ningún identificador CVE, clasificación CWE ni puntuación de severidad CVSS oficial a los fallos en el momento de la publicación.

La empresa resolvió ambos problemas en la versión de firmware V1.0.7.260821.161908 del DIR-X1860Z. La actualización de seguridad del firmware fue finalizada el 25 de agosto de 2026, y D-Link te insta a instalar la versión corregida o una versión más reciente cuando esté disponible.

Primero debes confirmar que tu router sea el modelo DIR-X1860Z y verificar la revisión de hardware aplicable antes de actualizar. D-Link advirtió a los usuarios que no instalen el firmware del DIR-X1860 en un dispositivo DIR-X1860Z, ni el firmware del DIR-X1860Z en un DIR-X1860.

El DIR-X1860, de nombre similar, es un producto no estadounidense independiente que ha llegado al final de su vida útil y de su servicio. D-Link señaló que el DIR-X1860 ya no recibirá actualizaciones de seguridad y debe ser retirado o reemplazado por un router compatible. La actualización de seguridad actual se aplica únicamente al producto activo DIR-X1860Z.