WatchGuard ha revelado tres vulnerabilidades de seguridad que afectan a los dispositivos AP de WatchGuard, incluyendo dos fallos críticos que podrían permitir a los atacantes obtener acceso no autenticado y ejecutar comandos en los puntos de acceso vulnerables.

Si tu organización utiliza un firmware de WatchGuard AP anterior a la versión 3.4.8, debes aplicar la actualización disponible inmediatamente. Las vulnerabilidades fueron publicadas el 28 de septiembre de 2026 y afectan a las versiones de WatchGuard AP desde la 1.0 hasta la 3.4.7.

WatchGuard solucionó los tres problemas en la versión 3.4.8. El problema más grave, registrado como CVE-2026-86102, tiene una puntuación CVSS v4 de 9.3. La vulnerabilidad es un fallo de inyección de comandos del SO en el servicio de la API de gestión interna.

Un atacante con acceso de red a un WatchGuard AP vulnerable podría enviar una entrada manipulada para provocar la ejecución de comandos de shell arbitrarios en el sistema operativo subyacente.

No se requiere autenticación ni interacción del usuario, lo que hace que el error sea especialmente peligroso cuando el servicio de API afectado es accesible desde redes no confiables.

Vulnerabilidades de la API de WatchGuard

Una segunda vulnerabilidad crítica, CVE-2026-101891, también está calificada con un 9.3. Esta se deriva de un control de acceso inadecuado en un servicio de API interna en los puntos de acceso de WatchGuard. El fallo permite que un atacante no autenticado con acceso a la red acceda a funcionalidades que deberían estar protegidas.

Este problema podría proporcionar una vía para que los atacantes interactúen con las capacidades de gestión interna y, potencialmente, respalden intentos de compromiso posteriores contra el dispositivo o el entorno conectado.

La tercera vulnerabilidad, CVE-2026-87969, es un problema de inyección de comandos de gravedad alta con una puntuación CVSS v4 de 8.6. A diferencia de los dos fallos críticos, su explotación requiere privilegios de administrador autenticado.

Una cuenta de administrador maliciosa o comprometida podría suministrar una entrada manipulada a través de la interfaz de línea de comandos de diagnóstico y ejecutar comandos arbitrarios del sistema operativo en el WatchGuard AP.

Las vulnerabilidades de inyección de comandos son particularmente graves en los dispositivos de red porque los puntos de acceso comprometidos pueden convertirse en un punto de apoyo dentro de las redes empresariales.

Los atacantes pueden usar la ejecución de comandos para recopilar datos de configuración, modificar los ajustes del dispositivo, desplegar mecanismos de persistencia, interceptar el tráfico de red o intentar un movimiento lateral hacia otros sistemas.

Tus dispositivos expuestos a través de redes de gestión, rutas de acceso remoto o infraestructuras inalámbricas mal segmentadas pueden enfrentar un mayor riesgo.

Tus equipos de seguridad deben primero identificar todos los dispositivos WatchGuard AP desplegados y verificar sus versiones de firmware. Prioriza la actualización de los dispositivos que ejecuten una versión anterior a la 3.4.8.

También debes restringir el acceso a las interfaces de gestión de los AP y a los servicios de API internos. Estos deberían ser accesibles únicamente desde redes administrativas confiables.

Debes revisar los registros de acceso, la actividad administrativa, el uso de la CLI de diagnóstico y los cambios de configuración en busca de signos de actividad inesperada. También debes rotar las credenciales administrativas si hay algún indicio de que una cuenta de gestión de AP haya sido expuesta.

La segmentación de la red puede reducir el impacto de un dispositivo inalámbrico comprometido al limitar su capacidad de comunicarse con sistemas internos críticos.

Actualmente no hay evidencia pública de explotación activa ni una prueba de concepto disponible públicamente para las vulnerabilidades reveladas. Sin embargo, la naturaleza no autenticada y la gravedad crítica de los fallos de la API interna hacen que el parcheo rápido sea esencial para los despliegues de WatchGuard AP.