NETGEAR ha detallado seis vulnerabilidades de gravedad media que afectan a 13 modelos de routers, routers con módem y repetidores. El aviso, actualizado el 28 de octubre de 2026, recoge las versiones de firmware corregidas y dos equipos sin parche: CBR40 y R7300DST. Los fallos requieren acceso local o próximo al servicio de gestión; algunos exigen además credenciales de administrador o una función concreta activada.
La recomendación de NETGEAR es comprobar la versión instalada y actualizar a la última disponible. Quienes tengan las actualizaciones automáticas activadas podrían haber recibido ya la corrección. Hay un detalle especialmente relevante para el RAX30: aparece en dos vulnerabilidades y la versión que corrige una de ellas no alcanza la necesaria para la otra.
Modelos afectados y versiones corregidas
| Modelo | Vulnerabilidad | Firmware corregido |
|---|---|---|
| CAX30 | CVE-2026-11732 | V2.3.4.12 |
| RAX30 | CVE-2026-11732 / CVE-2026-11731 | V1.0.14.108 / v1.0.15.110, respectivamente |
| RAX5 | CVE-2026-11732 | V1.0.5.34 |
| RAXE300 | CVE-2026-11732 | V1.0.10.72 |
| RAX28 y RAX29 | CVE-2026-11731 | v1.0.15.110 |
| EX3700 | CVE-2026-11730 | V1.0.0.102 |
| EX6120 | CVE-2026-11730 | V1.0.1.74 |
| CBR40 | CVE-2026-9218 | Sin corrección |
| R7000 | CVE-2026-9218 | v1.0.11.130 |
| R7000P | CVE-2026-9218 | V1.3.3.152 |
| RAX40 | CVE-2026-9218 | V1.0.3.64 |
| R7300DST | CVE-2026-107917 / CVE-2026-107918 | Sin corrección |
Qué acceso necesita un atacante
CVE-2026-11731 permite consultar ciertos datos o modificar ajustes administrativos en RAX28, RAX29 y RAX30 sin credenciales de administrador, aunque exige acceso próximo al servicio de gestión. En los repetidores EX3700 y EX6120, CVE-2026-11730 permite a un atacante con acceso a la red predecir identificadores de sesión y secuestrar una sesión de administrador ya autenticada.
Los fallos de ejecución de comandos tienen otros requisitos. CVE-2026-11732 necesita acceso a la red local y que esté activada la función Block Sites, de bloqueo de sitios web. CVE-2026-9218 utiliza el ajuste del servidor horario y exige tanto acceso local como credenciales de administrador: conocer únicamente la contraseña del Wi-Fi no basta.
Las dos vulnerabilidades del R7300DST también requieren un administrador autenticado en la red local. NETGEAR indica que se detectaron mediante una simulación del software y que no se han confirmado en dispositivos físicos de producción.
Cómo actualizar y qué equipos conviene retirar
NETGEAR identifica siete modelos fuera de soporte: RAX5, EX3700, CBR40, R7000, R7000P, RAX40 y R7300DST. Aunque varios cuentan con una versión corregida para estos fallos, la compañía recomienda retirar los equipos fuera de soporte, porque no hay más actualizaciones de seguridad previstas. Instalar uno de estos parches no restablece el soporte del dispositivo.
Para buscar una actualización, se puede utilizar la aplicación Nighthawk si el modelo es compatible. Desde un navegador, la alternativa es acceder a routerlogin.net, iniciar sesión como administrador, abrir el apartado de administración y actualización de firmware y pulsar «Check». NETGEAR advierte de que no se debe interrumpir la instalación ni apagar el router mientras se actualiza.
