D-Link Systems está investigando una vulnerabilidad de seguridad crítica en su router DIR-822A (CVE-2026-86296). El fallo ha recibido la puntuación máxima de severidad CVSS de 10.0, ya que permitiría a atacantes remotos comprometer los dispositivos sin necesidad de autenticación ni interacción del usuario, afectando específicamente al componente udhcpcd del firmware.

D-Link Systems ha revelado que está investigando una vulnerabilidad de seguridad crítica en su router DIR-822A, identificada como CVE-2026-86296. El fallo ha recibido la puntuación máxima de severidad CVSS de 10.0. Esto podría permitir que atacantes remotos comprometan los dispositivos vulnerables sin necesidad de autenticación ni interacción del usuario.

El problema afecta al componente udhcpcd en la versión de firmware A_101 reportada para el DIR-822A. Se trata de un desbordamiento de búfer basado en la pila (stack-based buffer overflow) en el archivo fuente udhcpcd/serverpacket.c, donde se utiliza la función insegura strcpy para copiar datos controlados por el atacante en un búfer de pila de tamaño fijo.

Si la entrada manipulada excede el espacio disponible del búfer, puede sobrescribir la memoria adyacente. Esta condición puede causar caídas del dispositivo, interrupción del servicio o, potencialmente, permitir que un atacante ejecute código no autorizado en el router.

D-Link ha indicado que está investigando la vulnerabilidad y aún no ha confirmado las revisiones de hardware afectadas, el alcance regional del producto ni el estado de la remediación del firmware.

La CVE-2026-86296 está clasificada bajo CWE-121, Desbordamiento de Búfer Basado en la Pila, y CWE-119, Restricción Impropia de Operaciones dentro de los Límites de un Búfer de Memoria. El vector CVSS v3.1 publicado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R.

El vector indica que el ataque puede lanzarse a través de una red con baja complejidad de ataque. Los atacantes no necesitan credenciales válidas, acceso a la red local ni interacción de la víctima.

Router de D-Link afectado por un fallo CVSS 10.0

Una explotación exitosa podría afectar la confidencialidad, integridad y disponibilidad, haciendo que la vulnerabilidad sea particularmente grave para los routers expuestos directamente a la internet pública.

Se ha informado de que se ha publicado un exploit de prueba de concepto (PoC) público. Dichas revelaciones pueden aumentar la probabilidad de una explotación activa, ya que los atacantes podrían adaptar la investigación pública en herramientas de escaneo o ataque.

Por lo tanto, si tú perteneces a una organización que utiliza el router afectado, deberías tratar este problema como una preocupación urgente de gestión de exposición, incluso mientras D-Link continúa su trabajo de validación.

D-Link también confirmó un segundo fallo crítico que afecta a la misma versión A_101 del DIR-822A. Identificado como CVE-2026-86510, la vulnerabilidad es una escritura fuera de límites en la función tunnel_set_params del Analizador de Mensajes de Control L2TP. Tiene una puntuación CVSS v3.1 de 9.9 y una puntuación CVSS v4.0 de 9.4.

A diferencia de la CVE-2026-86296, la explotación de la CVE-2026-86510 requiere privilegios bajos, aunque no requiere interacción del usuario. El fallo puede permitir la corrupción de memoria a través de mensajes de control L2TP especialmente diseñados. También se ha informado de la existencia de una prueba de concepto pública.

D-Link recomienda que, si eres propietario de un DIR-822A, verifiques tu modelo exacto, la revisión de hardware y la versión de firmware instalada antes de tomar cualquier medida. Debes evitar exponer las interfaces de administración del router a internet, desactivar la gestión remota cuando no sea esencial y restringir el acceso administrativo a sistemas confiables.

Debes monitorear el portal de soporte regional de D-Link correspondiente para obtener actualizaciones de firmware o guías de seguridad del producto. D-Link advirtió que el firmware es específico para cada revisión de hardware y que instalar una imagen destinada a una revisión diferente podría dañar el dispositivo o dejarlo desprotegido.