Alerta crítica: Se ha identificado una vulnerabilidad de autorización incorrecta en el router Totolink A3002MU (versión 1.0.0-B20230403.1455). La falla, catalogada como CVE-2026-105284, permite a un atacante remoto comprometer la integridad, confidencialidad y disponibilidad del dispositivo sin necesidad de autenticación. Se recomienda revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada de inmediato.
Resumen ejecutivo
| CVE | CVE-2026-105284 |
|---|---|
| Fabricante | Totolink |
| Producto | A3002MU |
| Fecha de publicación | 2026-10-05 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad RyzerBot | 195 / 1000 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-105284 es una falla de autorización incorrecta (CWE-266) y asignación incorrecta de privilegios (CWE-285) identificada en el router Totolink A3002MU, concretamente en la versión de firmware 1.0.0-B20230403.1455.
El problema reside en la función sub_40FCFC del archivo /bin/boa, que forma parte del componente de verificación de autenticación del dispositivo. Según la descripción técnica publicada, la ejecución de una manipulación específica sobre este componente puede provocar que el sistema permita el acceso sin la debida autorización. En otras palabras, un atacante podría eludir los mecanismos de control de acceso del router y ejecutar acciones privilegiadas sin credenciales válidas.
La clasificación inicial del recolector la cataloga como una vulnerabilidad de tipo «Authentication Check», pero las fuentes oficiales (CVE.org y NVD) la definen como un problema de autorización y asignación de privilegios. Esta distinción es relevante: no se trata de un fallo en la fortaleza de las contraseñas, sino de un defecto en la lógica que decide qué acciones puede realizar un usuario autenticado o no autenticado.
La puntuación CVSS v4.0 asignada es de 9.3 (CRÍTICA), con un vector que refleja ataque remoto (AV:N), baja complejidad (AC:L), sin necesidad de privilegios (PR:N) y sin interacción del usuario (UI:N). El impacto se extiende a la confidencialidad, integridad y disponibilidad tanto del sistema como de los datos asociados, con valores altos en todas las métricas de impacto.
Es importante señalar que el exploit ya ha sido publicado y está disponible públicamente, lo que incrementa significativamente el riesgo de explotación activa en entornos donde estos dispositivos estén expuestos.
Las referencias cruzadas entre NVD y CVE.org confirman la existencia de un exploit público alojado en un repositorio de GitHub (gist), así como entradas técnicas en VulDB que detallan el comportamiento de la vulnerabilidad y posibles firmas de detección.
No se han publicado parches oficiales hasta la fecha de emisión de este análisis, por lo que la mitigación debe basarse en las recomendaciones del fabricante y en la aplicación de controles compensatorios mientras se espera una actualización de firmware.
Productos y versiones vulnerables
El fabricante afectado es Totolink y el producto vulnerable es el A3002MU. Según la información publicada por CVE.org, la versión afectada es la siguiente:
| Producto | Versión afectada | Estado |
|---|---|---|
| Totolink A3002MU | 1.0.0-B20230403.1455 | Afectada |
No se han publicado en las fuentes consultadas versiones adicionales afectadas, versiones anteriores o posteriores, ni información sobre versiones corregidas o parches disponibles. Se recomienda consultar el aviso oficial del fabricante en https://www.totolink.net/ para obtener información actualizada sobre actualizaciones de firmware.
Impacto y riesgo
La vulnerabilidad CVE-2026-105284 ha sido clasificada con una gravedad CRÍTICA y una puntuación CVSS v4.0 de 9.3. El vector CVSS asociado es:
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Este vector indica que la vulnerabilidad es explotable de forma remota (AV:N), con una complejidad de ataque baja (AC:L) y sin requerir privilegios (PR:N) ni interacción del usuario (UI:N). El impacto sobre la confidencialidad, integridad y disponibilidad es alto (VC:H, VI:H, VA:H), tanto en el sistema afectado como en los recursos posteriores (SC:H, SI:H, SA:H).
La causa raíz se describe como una autorización inadecuada en el componente de verificación de autenticación del archivo /bin/boa, específicamente en la función sub_40FCFC. Las clasificaciones CWE asociadas son:
- CWE-266: Incorrect Privilege Assignment (Asignación incorrecta de privilegios).
- CWE-285: Improper Authorization (Autorización inadecuada).
Dado que el ataque puede lanzarse de forma remota y sin autenticación previa, el riesgo para los dispositivos afectados es extremadamente alto. Un atacante podría explotar esta debilidad para obtener acceso no autorizado, comprometer la integridad del dispositivo o provocar una denegación de servicio. La puntuación de prioridad asignada por RyzerBot es de 195, lo que refuerza la necesidad de aplicar medidas correctivas de forma urgente.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) indican que el exploit ha sido hecho público. En la descripción de la vulnerabilidad se afirma explícitamente: «The exploit has been made available to the public and could be used for attacks». Además, entre las referencias publicadas se incluye un enlace a un gist de GitHub etiquetado como «exploit» por CVE.org:
Sin embargo, no se ha confirmado explotación activa en entornos reales ni campañas masivas que aprovechen esta vulnerabilidad. El vector CVSS incluye el valor E:P (Proof-of-Concept), lo que indica que existe un PoC funcional pero no se ha demostrado una explotación generalizada. Se recomienda tratar esta vulnerabilidad como de alto riesgo de explotación inminente y priorizar su mitigación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío y no se debe especular ni inventar indicadores. Se recomienda monitorizar los registros de los dispositivos afectados en busca de actividad anómala, especialmente intentos de acceso no autorizado o modificaciones en la configuración del firmware.
Cómo comprobar si estás afectado
Para determinar si tu dispositivo Totolink A3002MU es vulnerable a CVE-2026-105284, debes verificar la versión de firmware instalada. Según los datos publicados por CVE.org, la versión afectada es la 1.0.0-B20230403.1455. Si tu equipo ejecuta esta versión exacta, se encuentra dentro del rango de afectación conocido.
El vector CVSS:4.0 indica que el ataque puede lanzarse de forma remota sin necesidad de autenticación previa (AV:N/PR:N/UI:N), lo que eleva significativamente el riesgo. La función vulnerable sub_40FCFC reside en el componente /bin/boa, encargado de la comprobación de autenticación. Un atacante podría explotar esta debilidad para lograr una autorización indebida y comprometer la confidencialidad, integridad y disponibilidad del sistema.
Para comprobar tu estado, sigue estos pasos:
- Accede a la interfaz de administración del router (normalmente a través de la IP de gestión).
- Consulta la sección de información del sistema o «Acerca de» para ver el número de versión del firmware.
- Compara la versión mostrada con la lista de versiones afectadas publicadas por el fabricante. Si coincide con
1.0.0-B20230403.1455, considera el dispositivo como potencialmente vulnerable. - Revisa el aviso oficial de Totolink en totolink.net para confirmar si tu versión está incluida en la notificación de seguridad.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Por tanto, la verificación debe centrarse en la versión de firmware y en la exposición del servicio de administración a redes no confiables.
Mitigación y actualización
En el momento de la publicación de esta CVE, no se ha identificado una versión corregida específica en las fuentes oficiales consultadas. El fabricante Totolink aún no ha publicado un boletín de seguridad formal que detalle el parche o la versión que resuelve esta vulnerabilidad. Por tanto, se recomienda aplicar las siguientes medidas de mitigación temporales:
- Restringir el acceso remoto: deshabilita la administración remota (WAN) del router si no es estrictamente necesaria. Limita el acceso a la interfaz de gestión únicamente desde la red local o mediante VPN.
- Segmentar la red: coloca el dispositivo en una VLAN de baja confianza o detrás de un firewall que filtre el tráfico entrante hacia el puerto de administración.
- Monitorizar logs: revisa periódicamente los registros del sistema en busca de intentos de acceso no autorizados o patrones anómalos relacionados con el proceso
boa. - Mantener vigilancia activa: consulta regularmente el sitio oficial de Totolink y las fuentes de referencia de esta CVE para estar al tanto de actualizaciones de firmware o avisos de seguridad.
Dado que el exploit ya ha sido publicado públicamente (referencia en GitHub), el riesgo de explotación activa es elevado. Se recomienda aplicar estas mitigaciones de inmediato y monitorizar cualquier comunicado oficial del fabricante.
Checklist para administradores
- ☐ Identificar todos los dispositivos Totolink A3002MU en la red y registrar su versión de firmware.
- ☐ Verificar si la versión instalada coincide con
1.0.0-B20230403.1455. - ☐ Deshabilitar la administración remota desde WAN si no es imprescindible.
- ☐ Aplicar reglas de firewall para restringir el acceso al puerto de administración desde direcciones IP no confiables.
- ☐ Revisar los logs del sistema en busca de intentos de acceso sospechosos o actividad anómala en
/bin/boa. - ☐ Suscribirse a las notificaciones de seguridad de Totolink y monitorizar el aviso oficial.
- ☐ Evaluar la posibilidad de sustituir temporalmente el dispositivo si la exposición es crítica y no se puede mitigar adecuadamente.
- ☐ Documentar todas las acciones tomadas y mantener un registro para futuras auditorías.
Preguntas frecuentes
¿Qué implica la puntuación CVSS de 9.3?
La puntuación de 9.3 se clasifica como CRITICAL según la métrica CVSS v4.0. Indica que la vulnerabilidad es explotable remotamente sin autenticación y que el impacto en la confidencialidad, integridad y disponibilidad es alto. Esto significa que un atacante podría comprometer completamente el dispositivo sin credenciales previas.
¿Qué es la función sub_40FCFC en /bin/boa?
La función sub_40FCFC es parte del componente de comprobación de autenticación del servidor web boa integrado en el firmware. La vulnerabilidad permite que una manipulación específica provoque una autorización indebida, lo que podría permitir a un atacante eludir los controles de acceso.
¿Existe algún parche disponible?
Según las fuentes consultadas (NVD y CVE.org), no se ha publicado una versión corregida hasta la fecha de esta actualización. Se recomienda contactar con el soporte oficial de Totolink y monitorizar su sitio web para futuras actualizaciones.
¿Cómo puedo saber si mi dispositivo ha sido comprometido?
No se han publicado IOC específicos para esta CVE. Sin embargo, puedes revisar los registros del sistema en busca de accesos no autorizados, cambios en la configuración sin explicación o reinicios inesperados. También es recomendable verificar la integridad del firmware comparando el hash con el proporcionado por el fabricante, si está disponible.
¿Qué debo hacer si no puedo actualizar el firmware?
Si no hay una actualización disponible, aplica las mitigaciones descritas: restringe el acceso remoto, segmenta la red y monitoriza activamente los logs. Considera aislar el dispositivo de Internet si no es necesario para tu operación.
¿Esta vulnerabilidad afecta a otros modelos de Totolink?
Según los datos publicados, la vulnerabilidad se ha identificado específicamente en el modelo A3002MU con la versión de firmware indicada. No se ha confirmado la afectación en otros modelos, pero se recomienda verificar cualquier aviso del fabricante.
Fuentes oficiales
Para obtener información detallada y actualizaciones, consulta las siguientes referencias oficiales:
- NVD – CVE-2026-105284
- VulDB – CVE-2026-105284
- VulDB – Entrada de vulnerabilidad 413465
- VulDB – Información de amenazas (CTI)
- Exploit público (GitHub)
- Sitio oficial de Totolink
Se recomienda revisar periódicamente estas fuentes para conocer nuevas actualizaciones, parches o avisos de seguridad relacionados con esta vulnerabilidad.