Alerta crítica: Se ha publicado la CVE-2026-80156, una vulnerabilidad de tipo path traversal en el portal de administración web de los dispositivos de gestión fuera de banda de Lantronix. Un atacante autenticado podría escribir archivos arbitrarios en el sistema de archivos del dispositivo, lo que permite la ejecución remota de código y el compromiso total de la confidencialidad, integridad y disponibilidad del equipo.
Resumen ejecutivo
| CVE | CVE-2026-80156 |
|---|---|
| Fabricante | Lantronix |
| Producto | SLC8000, EMG8500, EMG7500, SLB882, SLCx-03, SLCx-02 |
| Fecha de publicación | 22 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) |
| Prioridad RyzerBot | 225 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-80156 es una vulnerabilidad de path traversal (CWE-22) localizada en el endpoint de subida de archivos del portal de gestión web de los dispositivos Lantronix. El fallo permite a un atacante autenticado escribir datos arbitrarios en cualquier ubicación del sistema de archivos del dispositivo, lo que puede derivar en la ejecución remota de código.
El origen del problema está en la validación del nombre de archivo durante el proceso de subida. La aplicación elimina los caracteres de barra invertida (\) del nombre del archivo, pero no verifica posteriormente la presencia de barras normales (/) cuando se ha detectado una barra invertida. Si un atacante envía un nombre de archivo que contenga ambos caracteres, puede evadir la validación y escribir fuera del directorio de subida previsto, alcanzando cualquier ruta escribible del sistema.
La vulnerabilidad afecta a los siguientes productos y versiones:
- SLC8000: versiones anteriores a la
9.7.0.5. - EMG8500: versiones anteriores a la
9.7.0.1. - EMG7500: versiones anteriores a la
9.7.0.1. - SLB882: todas las versiones de firmware.
- SLCx-03: todas las versiones de firmware.
- SLCx-02: todas las versiones de firmware.
Estos dispositivos son consolas de gestión fuera de banda (out-of-band management) utilizadas para administrar de forma remota servidores y equipos de red, incluso cuando la red principal no está disponible. Esto los convierte en un objetivo especialmente atractivo para los atacantes, ya que un compromiso de estos equipos puede proporcionar acceso persistente a la infraestructura gestionada.
La puntuación CVSS de 9.4 refleja la gravedad del fallo: el vector de ataque es remoto, no requiere interacción del usuario y, aunque exige privilegios de autenticación, el impacto potencial sobre la confidencialidad, integridad y disponibilidad es total, tanto en el propio dispositivo como en los sistemas conectados en serie aguas abajo.
El fabricante ha publicado actualizaciones de firmware para las familias afectadas. Se recomienda encarecidamente aplicar los parches disponibles o implementar las mitigaciones indicadas en el aviso oficial de Lantronix.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, la vulnerabilidad afecta a los siguientes productos de Lantronix. Para los modelos SLC8000, EMG8500 y EMG7500 se especifican versiones afectadas; para el resto de modelos, el fabricante indica que todas las versiones de firmware están afectadas.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Lantronix SLC8000 | Versiones anteriores a 9.7.0.5 | 9.7.0.5 |
| Lantronix EMG8500 | Versiones anteriores a 9.7.0.1 | 9.7.0.1 |
| Lantronix EMG7500 | Versiones anteriores a 9.7.0.1 | 9.7.0.1 |
| Lantronix SLB882 | Todas las versiones | No publicado por las fuentes consultadas |
| Lantronix SLCx-03 | Todas las versiones | No publicado por las fuentes consultadas |
| Lantronix SLCx-02 | Todas las versiones | No publicado por las fuentes consultadas |
Para los modelos SLB882, SLCx-03 y SLCx-02, las fuentes consultadas no publican una versión corregida específica. Se recomienda revisar el aviso oficial del fabricante y los enlaces de referencia para obtener información actualizada sobre parches o mitigaciones.
Impacto y riesgo
La vulnerabilidad, clasificada como CRITICAL con una puntuación CVSS v4.0 de 9.4, permite a un atacante autenticado escribir datos arbitrarios en cualquier ubicación del sistema de archivos del dispositivo mediante el endpoint de carga del portal de gestión web. Esto puede conducir a la ejecución remota de código en el dispositivo afectado.
El vector CVSS asociado (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) indica que el ataque se realiza a través de la red, con baja complejidad de ataque y sin necesidad de interacción del usuario. Aunque se requiere autenticación con privilegios altos, el impacto sobre la confidencialidad, integridad y disponibilidad es alto tanto en el dispositivo como en sistemas adyacentes.
El análisis de riesgo destaca que el compromiso total del dispositivo podría afectar a los equipos conectados en serie aguas abajo, lo que amplía la superficie de impacto más allá del propio dispositivo Lantronix. Dado que estos equipos se utilizan habitualmente para gestión fuera de banda (out-of-band) de infraestructura crítica, el riesgo operativo es significativo.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se ha confirmado ni documentado ningún exploit público o campaña de ataque que aproveche esta CVE en la información disponible.
No obstante, la criticidad de la vulnerabilidad y la facilidad de explotación descrita en el análisis técnico (validación deficiente del nombre de archivo en el endpoint de subida) hacen recomendable aplicar las actualizaciones disponibles con carácter urgente, incluso sin evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío y no se dispone de IOC publicados en la información analizada. No deben inventarse indicadores; se recomienda monitorizar los sistemas afectados y revisar los registros de acceso al portal de gestión web para detectar actividad anómala, especialmente en el endpoint de carga de archivos.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-80156, debes verificar el modelo exacto y la versión de firmware de cada dispositivo Lantronix. La vulnerabilidad afecta a las siguientes familias y versiones:
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| SLC8000 | Anteriores a 9.7.0.5 | 9.7.0.5 |
| EMG8500 | Anteriores a 9.7.0.1 | 9.7.0.1 |
| EMG7500 | Anteriores a 9.7.0.1 | 9.7.0.1 |
| SLB882 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-03 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-02 | Todas las versiones | No publicado por las fuentes consultadas |
Para conocer la versión de firmware instalada en tu dispositivo, consulta la documentación oficial del fabricante o accede a la interfaz de administración web del equipo. La ruta exacta para visualizar esta información puede variar según el modelo y la versión de firmware; no se publican comandos específicos en las fuentes consultadas.
Ten en cuenta que los modelos SLB882, SLCx-03 y SLCx-02 aparecen listados como afectados en todas sus versiones de firmware. Si utilizas cualquiera de estos equipos, se considera que estás en riesgo hasta que el fabricante publique una actualización o una mitigación oficial.
Mitigación y actualización
La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Según las referencias de CVE.org, Lantronix ha puesto a disposición los siguientes paquetes de firmware corregido:
- SLC8000: firmware v9.7.0.5R2 disponible en ts.lantronix.com/ftp/slc8000/9.7.0.5R2/
- EMG8500: firmware v9.7.0.1R2 disponible en ts.lantronix.com/ftp/emg/EMG_8500/9.7.0.1R2/
- EMG7500: firmware v9.7.0.1R2 disponible en ts.lantronix.com/ftp/emg/EMG_7500/9.7.0.1R2/
Para los modelos SLB882, SLCx-03 y SLCx-02, no se ha publicado una versión corregida en las fuentes consultadas. Hasta que el fabricante publique una solución, se recomienda:
- Restringir el acceso a la interfaz de administración web únicamente a redes confiables.
- Limitar los privilegios de las cuentas con acceso al portal de gestión.
- Monitorizar los registros de auditoría del dispositivo para detectar actividades anómalas.
Dado que la vulnerabilidad requiere autenticación previa, la gestión adecuada de credenciales y la aplicación del principio de mínimo privilegio reducen significativamente la superficie de ataque.
Checklist para administradores
- ☐ Identificar todos los dispositivos Lantronix SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02 en el inventario de red.
- ☐ Verificar la versión de firmware de cada dispositivo afectado.
- ☐ Aplicar la actualización de firmware correspondiente en SLC8000 (9.7.0.5), EMG8500 (9.7.0.1) y EMG7500 (9.7.0.1).
- ☐ Para SLB882, SLCx-03 y SLCx-02, contactar con el soporte de Lantronix para conocer el estado de la solución.
- ☐ Restringir el acceso a la interfaz de administración web mediante listas de control de acceso (ACL) o segmentación de red.
- ☐ Revisar y rotar las credenciales de las cuentas con acceso al portal de gestión.
- ☐ Habilitar la auditoría y revisar los registros de eventos en busca de intentos de escritura fuera de los directorios de carga permitidos.
- ☐ Evaluar el impacto potencial sobre los dispositivos conectados en serie aguas abajo.
Preguntas frecuentes
¿Qué es CVE-2026-80156?
Es una vulnerabilidad crítica de tipo path traversal (CWE-22) en el portal de administración web de varios dispositivos Lantronix. Permite a un atacante autenticado escribir archivos arbitrarios en cualquier ubicación del sistema de archivos del dispositivo, lo que puede derivar en ejecución remota de código.
¿Qué puntuación CVSS tiene?
La vulnerabilidad tiene una puntuación CVSS v4.0 de 9.4, clasificada como CRITICAL. El vector completo es CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.
¿Se requiere autenticación para explotar la vulnerabilidad?
Sí. Según la descripción publicada, el atacante debe estar autenticado en el portal de administración web. Esto reduce la exposición, pero no elimina el riesgo si las credenciales se ven comprometidas o si existen cuentas con privilegios excesivos.
¿Qué productos están afectados?
Los productos afectados son: SLC8000 (anteriores a 9.7.0.5), EMG8500 y EMG7500 (anteriores a 9.7.0.1), y todas las versiones de SLB882, SLCx-03 y SLCx-02.
¿Existe algún exploit público conocido?
No se ha publicado información sobre exploits públicos en las fuentes consultadas. Sin embargo, la naturaleza de la vulnerabilidad y la existencia de un análisis técnico detallado en VulnCheck sugieren que la probabilidad de explotación es alta.
¿Qué impacto puede tener en los dispositivos conectados en serie?
Según la descripción oficial, un atacante podría lograr la pérdida completa de confidencialidad, integridad y disponibilidad en el dispositivo afectado, y potencialmente impactar en los dispositivos conectados en serie aguas abajo. Esto es especialmente relevante en entornos OT/ICS donde estos equipos gestionan comunicaciones seriales críticas.