CVE-2026-42062: Command Injection in ELECOM WRC-BE72XSD-B
Plataforma
linux
Componente
elecom-wrc-be72xsd-b
La vulnerabilidad CVE-2026-42062 afecta a los puntos de acceso inalámbricos ELECOM WRC-BE72XSD-B. Esta vulnerabilidad permite la inyección de comandos a través del parámetro 'username', lo que permite a un atacante ejecutar comandos arbitrarios en el dispositivo sin necesidad de autenticación. Afecta a las versiones 1.1.0–v1.1.1, y no se ha proporcionado una versión corregida.
Impacto y Escenarios de Ataque
La explotación de CVE-2026-42062 permite a un atacante obtener control total sobre el punto de acceso inalámbrico. Al poder ejecutar comandos arbitrarios sin autenticación, el atacante puede instalar malware, modificar la configuración del dispositivo, acceder a datos confidenciales, y utilizar el punto de acceso como plataforma para lanzar ataques a otros sistemas en la red. La falta de autenticación hace que esta vulnerabilidad sea extremadamente crítica.
Contexto de Explotación
La vulnerabilidad CVE-2026-42062 no se encuentra en KEV ni tiene una puntuación EPSS asignada. No se conocen públicamente pruebas de concepto (PoC) activas. La fecha de publicación es 2026-05-13.
Inteligencia de Amenazas
Estado del Exploit
CISA SSVC
Vector CVSS
¿Qué significan estas métricas?
- Attack Vector
- Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
- Attack Complexity
- Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
- Privileges Required
- Ninguno — sin autenticación. No se necesitan credenciales para explotar.
- User Interaction
- Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
- Scope
- Sin cambio — el impacto se limita al componente vulnerable.
- Confidentiality
- Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
- Integrity
- Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
- Availability
- Alto — caída completa o agotamiento de recursos. Denegación de servicio total.
Software Afectado
Clasificación de Debilidad (CWE)
Cronología
- Reservado
- Publicada
Mitigación y Workarounds
Dado que no se ha proporcionado una versión corregida, la mitigación principal es aislar el punto de acceso inalámbrico en una red separada para limitar el daño potencial en caso de compromiso. Implemente reglas de firewall estrictas para restringir el acceso al dispositivo desde la red externa. Monitoree los registros del sistema en busca de actividad sospechosa. No existen firmas Sigma o YARA específicas para esta vulnerabilidad, pero la monitorización del tráfico de red es crucial. Considere la posibilidad de deshabilitar el punto de acceso si no es esencial.
Cómo corregirlotraduciendo…
Actualice el firmware del dispositivo WRC-BE72XSD-B a una versión corregida. Consulte el sitio web de ELECOM para obtener más información y las actualizaciones de firmware disponibles: https://www.elecom.co.jp/news/security/20260512-01/
Preguntas frecuentes
What is CVE-2026-42062 — Command Injection in ELECOM WRC-BE72XSD-B?
CVE-2026-42062 es una vulnerabilidad que permite la ejecución de comandos arbitrarios en un punto de acceso ELECOM WRC-BE72XSD-B a través de la inyección de comandos.
Am I affected by CVE-2026-42062 in ELECOM WRC-BE72XSD-B?
Si está utilizando un ELECOM WRC-BE72XSD-B en las versiones 1.1.0–v1.1.1, es posible que esté afectado.
How do I fix CVE-2026-42062 in ELECOM WRC-BE72XSD-B?
Dado que no hay una versión corregida, aísle el dispositivo en una red separada y aplique reglas de firewall estrictas.
Is CVE-2026-42062 being actively exploited?
Actualmente no se conocen explotaciones activas, pero la alta criticidad de la vulnerabilidad requiere una mitigación inmediata.
Where can I find the official ELECOM advisory for CVE-2026-42062?
Consulte el sitio web de ELECOM o su canal de seguridad para obtener la información oficial sobre esta vulnerabilidad.
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Pruébalo ahora — sin cuenta
Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.
Arrastra y suelta tu archivo de dependencias
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...