¿Cuándo se actualizó por última vez el router de su oficina?
En agosto de 2026 se publicaron quince fallos en los equipos de red TP-Link Omada, de los más habituales en oficinas pequeñas, y un aviso crítico del INCIBE sobre sus routers con VPN. Hay parches desde hace semanas. El problema es que casi ninguna pyme sabe qué modelo tiene ni con qué versión.
En casi todas las pymes por las que pasamos hay un armario, un estante alto o un rincón detrás de una impresora con el equipo de red. Un router, un switch, dos o tres puntos de acceso wifi. Lo instaló un integrador hace cuatro o cinco años, funcionó desde el primer día y desde entonces nadie lo ha tocado. Tampoco había motivo: el wifi va bien.
Ese cacharro es un ordenador. Tiene sistema operativo, guarda contraseñas dentro y, en muchos casos, es la puerta de la VPN por la que entran sus comerciales desde casa. En agosto de 2026 han aparecido dos razones concretas para acordarse de él.
Lo que se publicó este mes
El 4 de agosto de 2026, el equipo de investigación de Forescout publicó quince vulnerabilidades nuevas en el ecosistema Omada de TP-Link, y las presentó al día siguiente en Black Hat. Omada es la gama profesional de la marca: routers, switches, puntos de acceso y el controlador que los gestiona a todos. Es material barato y que funciona bien, muy extendido en oficinas pequeñas españolas. Justo por eso interesa a quien busca víctimas en bloque.
El problema está un escalón por encima del aparato, en el sistema que los da de alta a todos. Se llama aprovisionamiento sin intervención y sirve para que usted enchufe un punto de acceso nuevo y se configure solo contra el controlador, sin que nadie vaya con un portátil a teclearle nada. Es cómodo, y es una de las razones por las que estos equipos se venden tan bien.
Los investigadores encadenaron los fallos hasta un escenario completo: deducir los números de serie de los equipos, que resultan ser predecibles; colarse en el instante en que un aparato se da de alta; sacar credenciales en claro; y desde ahí llegar al controlador. Con el controlador en la mano se administra la red entera, incluidos los túneles VPN. En el mismo informe apuntan un dato que conviene leer dos veces: observan más de 1.800 controladores Omada accesibles desde internet. Un controlador es la consola de mando de su red y no tiene nada que hacer expuesto ahí fuera.
TP-Link publicó su respuesta a la investigación, con la lista de productos afectados y la recomendación de actualizar firmware y controladores. Cuatro de los hallazgos los reconoce como problemas de diseño y ni siquiera les asigna identificador. Eso significa que no se arreglan con una actualización.
Y el 21 de agosto de 2026 llegó el segundo aviso, este del INCIBE-CERT y de severidad crítica, sobre dieciocho modelos de gateway Omada. Es un problema distinto y más directo que el anterior: cuando el equipo hace de servidor OpenVPN, alguien sin credenciales puede ejecutar comandos en él aprovechando cómo valida los datos de quien se conecta. Aquí sí hay parche. El fabricante lo publicó entre junio y julio de 2026, y para el ER605 en su versión de hardware 2, uno de los routers más vendidos de la gama, la versión corregida es la 2.4.4 Build 20260630.
Antes de que nadie se ponga nervioso
Ninguna de las dos cosas se ha visto explotada en ataques reales, o al menos ni Forescout ni el INCIBE lo han reportado. No hay una campaña en marcha contra las pymes españolas y nadie tiene que desmontar el armario esta tarde.
Lo que hay es una ventana abierta. Una investigación pública que explica el camino paso a paso, parches disponibles desde hace semanas y mil ochocientos controladores a la vista. El hueco entre que un fallo se publica y que alguien aplica el parche es donde se trabaja, y en el equipo de red ese hueco se mide en años.
Por qué el equipo de red es el punto ciego
Casi todas las empresas que atendemos tienen medio resuelto el parcheo de los ordenadores. Windows se actualiza solo, el antivirus avisa, y el que lleva la informática tiene alguna forma de saber qué máquina va retrasada.
El equipo de red no está en ninguna de esas listas. No sale en la consola del antivirus. Tampoco en el inventario, porque muchas veces no lo compró informática, sino que vino con la instalación de la fibra o del sistema de cámaras. Y el técnico que lo montó facturó, se fue y no vuelve salvo que algo deje de funcionar.
Añada un detalle que lo remata: el firmware de red no avisa. No hay notificación ni globo en la pantalla de nadie. La actualización está colgada en una página del fabricante esperando a que alguien entre a mirar, y nadie entra.
Qué hacer esta semana
En este orden, que importa:
- Averigüe qué tiene. Marca, modelo y versión de firmware del router, el switch y los puntos de acceso. Media hora, y una llamada a quien le montó la red si hace falta.
- Compruebe si el controlador o la administración de esos equipos se alcanzan desde internet. Si la respuesta es sí y no fue una decisión consciente, ciérrelo antes que ninguna otra cosa.
- Actualice el firmware, empezando por el equipo que hace de VPN, que es el que sale en el aviso crítico del INCIBE.
- Revise las contraseñas de administración. Si es la misma en todos los aparatos, y suele serlo porque así se instalan, cámbiela por una distinta en cada uno y active el segundo factor en la cuenta en la nube del fabricante.
- Si el equipo estaba expuesto o sospecha que alguien tocó algo, rote las claves y credenciales de la VPN. Actualizar no expulsa a quien ya tiene una llave válida.
- Ponga una fecha en el calendario. Dos veces al año, alguien mira si hay firmware nuevo. Sin esto, dentro de tres años estamos igual.
Esto no va solo de TP-Link
Si su red es Ubiquiti, Zyxel, Mikrotik, Fortinet o Cisco, el titular de agosto es otro pero la conversación es la misma. Todos los fabricantes publican fallos y todos publican parches. En casi ninguna oficina pequeña hay alguien con el encargo de enterarse. La marca que compró usted en su día importa bastante menos que tener a alguien mirando de vez en cuando.
Por dónde empezar aunque no contrate nada
El punto uno de la lista vale por sí solo y no cuesta dinero. Una hoja con lo que hay conectado en su oficina, el modelo, la versión y la fecha de la última actualización. Es aburrido de hacer y es lo que separa enterarse de un aviso en agosto de enterarse en marzo del año que viene.
Si prefiere que lo llevemos nosotros, es exactamente el trabajo de gestión de activos y vulnerabilidades: saber qué tiene conectado y avisarle cuando algo suyo aparece en un boletín. También lo miramos dentro del security assessment. Y si lo único que quiere es saber si ese router concreto está expuesto, mándenos el modelo y se lo decimos.
