Tenda router backdoor vulnerability grants admin access without password

Investigadores de seguridad del CERT Coordination Center han descubierto una vulnerabilidad crítica en varios modelos de routers Tenda que permite a atacantes obtener acceso de administrador sin ninguna contraseña legítima. Un mecanismo de autenticación oculto integrado en el firmware se activa tras un intento de inicio de sesión fallido, concediendo control total si se suministra la contraseña secreta adecuada. Al cierre de este informe, Tenda aún no ha emitido un parche. La falla está registrada como CVE-2026-11405.

Según CERT/CC, la vulnerabilidad se desencadena cuando la verificación normal de la contraseña falla. En lugar de un rechazo directo, el router inicia una rutina de autenticación secundaria no documentada. Si el atacante proporciona una contraseña específica incrustada —codificada en el firmware y no conocida públicamente— el dispositivo concede acceso sin restricciones a la interfaz de administrador. Curiosamente, la verificación del nombre de usuario es laxa, por lo que basta con adivinar la contraseña oculta para eludir las protecciones de seguridad.

Los modelos de Tenda afectados confirmados hasta ahora incluyen:

• Tenda FH1201
• Tenda W15E
• Tenda AC10
• Tenda AC5
• Tenda AC6

CERT/CC señala que esta lista puede no ser exhaustiva dado que Tenda no ha confirmado completamente todos los dispositivos afectados. Es habitual que routers dentro de una misma línea de productos compartan código de firmware entre múltiples modelos y versiones de software, lo que aumenta el alcance potencial de las unidades afectadas.

Recomendado

El fundador de Hinge, Justin McLeod, prepara Overtone, emparejador con IA

Con acceso de nivel administrador, los atacantes podrían:

• Alterar servidores DNS
• Habilitar gestión remota
• Desactivar ajustes de seguridad
• Cambiar las contraseñas del propietario
• Usar el router comprometido como hub para lanzar ataques a los dispositivos conectados

Aunque es peligroso para cualquier red doméstica, el riesgo aumenta considerablemente en entornos de pequeñas empresas donde el router controla todo el flujo de tráfico. Los escenarios de explotación comunes incluyen campañas de phishing, suplantación de sitios web y el reclutamiento de dispositivos en botnets —una preocupación creciente en la seguridad del IoT.

Los investigadores han retenido la contraseña oculta del backdoor para evitar una explotación masiva. Los intentos de CERT/CC por contactar con Tenda no han dado lugar a actualizaciones de parches ni a comentarios oficiales. Mientras tanto, se recomienda a los usuarios desactivar la gestión remota por Internet y restringir el acceso a la interfaz web exclusivamente a la red local. Limitar la exposición de esta manera reduce significativamente los vectores de ataque hasta que se publique una solución adecuada.

Las fallas de seguridad en routers de consumo y de pequeñas oficinas suelen provocar advertencias de las autoridades de todo el mundo. Por ejemplo, la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha recomendado repetidamente retirar routers SOHO vulnerables y sin soporte porque los atacantes los secuestran con frecuencia para construir botnets y obtener puntos de apoyo en redes. La forma en que Tenda responda será importante —bien ampliando la lista de modelos afectados o bien publicando parches de firmware junto con una explicación del backdoor incrustado.