Un fallo de router ha sacado un 10 sobre 10. Y no hay parche.

El aviso de seguridad de D-Link para el DIR-822A lleva una puntuación de gravedad de 10,0. No existe un número más alto.

El fallo, CVE-2026-86296, está en el servicio DHCP del router, la parte que reparte una dirección a todo lo que se une a la red. Una sola línea descuidada, una llamada a strcpy en udhcpcd/serverpacket.c, permite que una petición desmedida se salga del búfer y deje las instrucciones de un atacante donde deberían estar las del propio router. No hace falta contraseña. Puede enviarla cualquier cosa que ya esté en la red, lo que en una casa normal significa el móvil de una visita, un enchufe inteligente, una cámara barata o un portátil que se ha contagiado de algo. Un segundo fallo, CVE-2026-86510, corrompe la memoria a través del analizador L2TP del router y saca un 9,9. Hay código de demostración funcional y público para los dos.

D-Link publicó el aviso SAP10516 el 18 de septiembre y lo actualizó el 21, y la actualización no incluye ninguna corrección. La empresa todavía está averiguando qué revisiones de hardware y qué regiones están afectadas, y si el modelo es lo bastante antiguo como para que no llegue firmware alguno. La versión citada en los informes es A_101 en el DIR-822A de fuera de Estados Unidos. Hasta que aparezca algo, el consejo del propio D-Link es el sensato: desactivar la administración remota para que la página de configuración no sea accesible desde internet, y mantener esa página fuera de cualquier red en la que no confíes.

Hazlo sea cual sea la marca de tu caja. Entra hoy en el router, apunta la versión del firmware, mira si la administración remota está activada y comprueba si el fabricante ha sacado algo este año. Un router que dejó de recibir actualizaciones hace tres años suele ser lo más débil de la casa. El escaneo de red de Tendvane enumera todos los dispositivos conectados ahora mismo a la tuya, que es una forma rápida de fijarte en aparatos que habías olvidado.