CVE-2026-76071: vulnerabilidad crítica en Netis NC63

🚨 Alerta crítica: CVE-2026-76071 afecta al firmware Netis NC63 hasta la versión 3.0.0.3327. Un desbordamiento de búfer en la pila permite a atacantes remotos sin autenticación ejecutar código como root.

Cadena de riesgo y respuesta para CVE-2026-76071

Resumen ejecutivo

Campo	Detalle
CVE	CVE-2026-76071
Fabricante	Netis Systems
Producto	NC63 (router)
Fecha de publicación	2026-08-24T14:17:23.117Z
Severidad	CRITICAL
CVSS 4.0	9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/…)
Puntuación de prioridad (RyzerBot)	245
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-76071 es un stack-based buffer overflow (desbordamiento de búfer en la pila) presente en el firmware del router Netis NC63 hasta la versión 3.0.0.3327. El fallo reside en el parámetro destHost de la acción ipFilterList=mod del script netis.cgi. Al procesar este parámetro, el código utiliza conversiones sscanf sin límite de ancho, copiando la entrada del usuario en búferes de tamaño fijo en la pila antes de que se verifique la autenticación.

Debido a que el servidor web Boa ejecuta el entorno CGI con privilegios de root, un atacante remoto no autenticado puede sobrescribir el estado guardado de la pila y lograr ejecución remota de código (RCE) con los máximos privilegios del sistema.

El CWE asociado es CWE-121 (Stack-based Buffer Overflow).

Productos y versiones vulnerables

Fabricante	Producto	Versiones afectadas	Estado
Netis Systems	NC63	Todas las versiones ≤ 3.0.0.3327	Afectado

No se han publicado versiones posteriores que corrijan el problema en las fuentes consultadas.

Impacto y riesgo

Confidencialidad: Alta – el atacante puede leer cualquier archivo del sistema.
Integridad: Alta – posibilidad de modificar configuraciones, instalar puertas traseras o alterar firmware.
Disponibilidad: Alta – ejecución de código arbitrario puede provocar denegación de servicio o control total del dispositivo.
Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios previos (PR:N), sin interacción del usuario (UI:N).
Puntuación CVSS 4.0: 9.3 (CRITICAL).

La combinación de acceso remoto sin autenticación y ejecución como root hace que esta vulnerabilidad sea de alto riesgo para cualquier despliegue expuesto a Internet o a redes internas no segmentadas.

Estado de explotación conocida

Las fuentes consultadas (NVD, CVE.org, VulnCheck, repositorio del investigador) no reportan explotación activa en la naturaleza ni campañas de malware que utilicen esta vulnerabilidad. La selección por parte de RyzerBot se basa en la publicación reciente y la puntuación CVSS ≥ 9.0, no en evidencia de explotación activa.

Indicadores de compromiso (IOC)

No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Identifica el modelo del dispositivo: Netis NC63.
Accede a la interfaz de administración y verifica la versión de firmware mostrada (p. ej., V3.0.0.3327 o inferior).
Si la versión es igual o anterior a 3.0.0.3327, el dispositivo es vulnerable.
Revisa los logs del servidor web Boa en busca de peticiones anómalas al endpoint /netis.cgi?ipFilterList=mod con parámetros destHost inusualmente largos.

No se proporcionan comandos específicos ni scripts de detección en las fuentes oficiales.

Mitigación y actualización

Actualización de firmware: Consultar la página de soporte de Netis (https://www.netis-systems.com/products/NC63.html) para descargar e instalar la versión más reciente que corrija el desbordamiento.
Mitigación temporal: Restringir el acceso a la interfaz de gestión web (puerto HTTP/HTTPS) únicamente a redes de administración de confianza mediante ACL o firewall.
Desactivar CGI vulnerable: Si no se requiere la funcionalidad de filtrado IP, deshabilitar el script netis.cgi o la acción ipFilterList=mod mediante configuración del servidor web Boa.
Monitoreo: Implementar detección de anomalías en el tráfico hacia el puerto de gestión y alertar sobre peticiones con parámetros destHost excesivamente largos.

La acción recomendada por RyzerBot: Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Checklist para administradores

☐ Verificar modelo y versión de firmware del Netis NC63.
☐ Confirmar si la versión es ≤ 3.0.0.3327.
☐ Descargar y aplicar el firmware corregido desde el portal oficial de Netis.
☐ Si no hay parche disponible, restringir acceso a la interfaz de gestión a IPs de confianza.
☐ Deshabilitar la acción ipFilterList=mod si no es necesaria.
☐ Configurar alertas en SIEM/IDS para peticiones anómalas a /netis.cgi.
☐ Documentar la remediación y actualizar el inventario de vulnerabilidades.

Preguntas frecuentes

¿Qué dispositivos están afectados?: Únicamente el router Netis NC63 con firmware hasta la versión 3.0.0.3327.
¿Se necesita autenticación para explotar la vulnerabilidad?: No. El desbordamiento ocurre antes de la verificación de credenciales, permitiendo explotación sin autenticación.
¿Existe exploit público?: El investigador ha publicado detalles técnicos y un PoC en GitHub y en su blog, pero no se reporta uso masivo en ataques reales.
¿Cómo puedo proteger mi red mientras no hay parche?: Limitar el acceso a la interfaz web de administración, deshabilitar la funcionalidad vulnerable y monitorizar tráfico sospechoso.
¿Cuál es la puntuación CVSS y qué significa?: CVSS 4.0 9.3 (CRITICAL): vector de red, baja complejidad, sin privilegios, sin interacción de usuario, impacto alto en confidencialidad, integridad y disponibilidad.
¿Dónde encuentro el aviso oficial del fabricante?: En la página de producto de Netis: https://www.netis-systems.com/products/NC63.html y en el aviso de VulnCheck: VulnCheck advisory.