Nintendo ha corregido una vulnerabilidad de alta gravedad (CVE-2026-82079) en la Nintendo Switch original. Este fallo, localizado en la red inalámbrica local y presente en versiones de firmware anteriores a la 23.0.0, consistía en un desbordamiento de búfer basado en pila que podría permitir a un atacante cercano ejecutar código no autorizado y acceder a información almacenada en la consola.

Nintendo ha parcheado una vulnerabilidad de severidad alta en la Nintendo Switch original que podría permitir que un atacante cercano ejecute código no autorizado y acceda a información almacenada en la consola.

Identificada como CVE-2026-82079, el fallo afecta a las versiones de firmware anteriores a la 23.0.0 y reside en la red inalámbrica local. El problema de seguridad es un desbordamiento de búfer basado en la pila, una debilidad de corrupción de memoria que ocurre cuando los datos entrantes exceden el espacio reservado en la pila.

Un atacante puede transmitir tráfico de red especialmente diseñado que corrompa la memoria y permita la programación orientada a retornos, o ROP. El ROP encadena secuencias cortas de instrucciones que ya están en la memoria, permitiendo potencialmente que el adversario redirija el control del programa y ejecute operaciones arbitrarias.

Vulnerabilidad de Nintendo Switch

Nintendo afirma que la explotación se limita a flujos de trabajo específicos y requiere una interacción controlada con la consola. El atacante debe estar dentro del alcance inalámbrico y escanear directamente un código QR mostrado en la pantalla de la Switch o en el televisor conectado.

Los flujos de trabajo expuestos incluyen la función "Enviar al teléfono inteligente" del Álbum y la capacidad de enviar al teléfono inteligente utilizada con Mario Kart Live: Home Circuit.

Una vez que el dispositivo malicioso se une al entorno inalámbrico local temporal de la consola, paquetes diseñados podrían atacar el código de red vulnerable.

Un ataque exitoso podría comprometer la confidencialidad, integridad y disponibilidad. Nintendo advierte que un atacante que cumpla las condiciones requeridas puede ejecutar código no autorizado u obtener información de la consola durante un ataque exitoso. Sin embargo, la estrecha proximidad y los requisitos del código QR limitan la explotación oportunista.

Nintendo asignó a la CVE-2026-82079 una puntuación base CVSS 4.0 de 7.0, calificada como Alta. Su vector describe un ataque de red adyacente con baja complejidad, sin privilegios requeridos e interacción pasiva del usuario, siendo el mayor impacto evaluado el de la integridad del sistema.

Bases de datos de terceros también enumeran una probabilidad EPSS de aproximadamente 0.16%, lo que indica un pronóstico bajo de explotación en el mundo real en un plazo de 30 días. El EPSS es predictivo, no es una prueba de que la explotación haya ocurrido o no.

Las consolas Nintendo Switch originales que ejecutan versiones inferiores a la 23.0.0 son vulnerables. Nintendo dice que el problema no puede explotarse para obtener información de la consola desde la Nintendo Switch 2, distinguiendo la plataforma más nueva del hardware afectado.

La vulnerabilidad fue reportada por investigadores de seguridad externos y Nintendo publicó su aviso inicial el 10 de septiembre de 2026, como se detalla en el aviso de seguridad publicado por Nintendo.

Deberías instalar la actualización del sistema 23.0.0 inmediatamente. Para comprobar el firmware instalado, abre la Configuración del Sistema desde el Menú de Inicio, selecciona Sistema y revisa la versión mostrada; la Actualización del Sistema inicia una comprobación manual.

Las consolas conectadas a Internet normalmente descargarán las actualizaciones actuales automáticamente.

Si te es imposible aplicar el parche inmediatamente, deberías evitar las funciones de compartir afectadas, evitar que otros vean o escaneen códigos QR mostrados por la consola o el televisor, usar solo teléfonos inteligentes personales de confianza para las transferencias del Álbum y evitar karts de Mario Kart Live desconocidos.