El fallo de los routers de Movistar y Orange: qué hacer hoy

Si tienes fibra de Movistar, O2, Orange, Jazztel o MásMóvil, es muy posible que el router que tienes en el salón sea uno de los afectados por la vulnerabilidad de la que habla todo el sector esta semana. Y no es una tontería: alguien que esté cerca de tu casa puede tomar el control del router y sacar la clave del wifi, sin saber ninguna contraseña.

Te cuento qué ha pasado, qué modelos están en la lista y qué puedes hacer tú, que es menos de lo que me gustaría pero no es nada.

Qué ha pasado

El investigador Quentin Kaiser presentó el fallo en el congreso Hexacon 2026, en París, los días 16 y 17 de octubre. Según recoge BandaAncha, el problema está en cómo el software de Broadcom, el fabricante del chip wifi de muchísimos routers, procesa las tramas de WPS, ese botón para conectar dispositivos sin escribir la clave.

WPS nació en 2006 para que conectar una impresora o un repetidor no exigiera teclear una clave de veinte caracteres: pulsas el botón del router, pulsas el del aparato y listo. Cómodo, sí. Y desde el principio, una fuente de problemas de seguridad.

Un desbordamiento de memoria en ese código permite a un atacante ejecutar lo que quiera en el router con permisos de administrador, sin pasar ninguna autenticación. En el vídeo de demostración se ve cómo copia la clave del wifi en texto plano directamente de la memoria.

Hay dos detalles que lo hacen peor:

• El fallo está en equipos con chips de Broadcom desde 2010. Muchos routers que llevan años en las casas.
• Broadcom conoce el problema desde 2018, según el investigador, pero no le asignó un código CVE. Sin ese identificador, muchos fabricantes que usan sus chips nunca actualizaron el trozo de código afectado.

Kaiser llegó hasta el fondo del asunto analizando el firmware con ayuda de un modelo de Inteligencia Artificial especializado en ciberseguridad. Es el segundo fallo gordo de esta semana encontrado así, después del de PHP2Shell.

Qué routers están afectados en España

El investigador ha publicado los scripts para identificar modelos vulnerables, y con ellos se han localizado estos en España:

Operadora	Router	Notas
Movistar y O2	Askey RTF3505VW (HGU original)	Afectado con el firmware más reciente
Movistar y O2	MitraStar GPT-2541GNAC (HGU original)	Afectado con el firmware más reciente
Movistar	Comtrend VG8050	De los primeros despliegues de fibra
Jazztel, MásMóvil y Yoigo	ZTE F680 v4
Orange, Jazztel y Simyo	Sagemcom Fast 5656 (Livebox Fibra)	Detectado también en una prueba por las calles de París

El caso más grave son los dos HGU originales de Movistar, porque siguen en muchísimas casas y, según BandaAncha, el último firmware disponible sigue siendo vulnerable. Para saber cuál tienes, mira la pegatina de debajo del router: ahí viene el fabricante y el modelo.

¿Cuántos hay en España? No hay una cifra fiable. La de “1,5 millones” que circula es solo de Bélgica, la que dio el investigador en su presentación.

Por qué cambiar la contraseña no sirve

Es lo primero que se le ocurre a cualquiera, y no funciona. El ataque no necesita la clave del wifi: la saca de la memoria del router. Cambiarla solo le da al atacante una clave nueva que leer. La solución de verdad es una actualización del firmware, y esa depende del fabricante y de la operadora, no de ti.

Tampoco basta con desactivar WPS desde el menú del router. Según BandaAncha, apagar la opción puede no ser suficiente si el proceso que gestiona WPS sigue funcionando por debajo, que es justo lo que pasa en algunos modelos.

Qué dicen Movistar y Orange

Las dos han contestado a BandaAncha:

• Movistar dice estar en contacto con los fabricantes para hacer pruebas en sus equipos y que no le consta que la vulnerabilidad se haya usado contra ningún router concreto.
• Orange reconoce el problema, incluido el Livebox, y asegura que ya ha empezado a desplegar las correcciones, que llegan solas al router sin que el cliente tenga que hacer nada. Tampoco le consta ningún ataque a sus clientes.

Qué haría yo mientras tanto

Lo primero, poner las cosas en su sitio: el atacante tiene que estar cerca, al alcance de tu wifi. No es un fallo que se explote desde la otra punta de internet. En un chalé aislado el riesgo es bajo; en un bloque de pisos, con decenas de vecinos y gente pasando por la calle, no tanto.

Dicho eso, esto es lo que haría yo, que no es lo que diga la operadora sino mi criterio:

1. Mira el modelo de tu router. Si no está en la lista, respira.
2. Si está, llama a tu operadora y pregunta si tu equipo ya tiene la actualización o si te lo pueden cambiar por uno más nuevo. Con los HGU originales de Movistar, pedir el cambio a un modelo actual es razonable: son routers de hace años.
3. Si tienes un punto de acceso o un router propio, una opción es apagar del todo el wifi del router de la operadora y dar el wifi con tu equipo. Ojo, esto es lectura mía del problema (sin radio wifi encendida, no llegan las tramas del ataque), no una recomendación oficial, y no vale si solo desactivas el WPS.
4. Revisa qué hay conectado a tu red desde el panel del router o la app de la operadora. Si aparece algo que no reconoces, cambia la clave del wifi después de que el router esté actualizado, no antes.

Si gestionas la red de una oficina o un negocio pequeño con uno de estos routers, el riesgo sube, porque por esa red pasa más que tu Netflix. Escríbeme si quieres revisarla.

Preguntas frecuentes

¿Cómo sé si mi router de Movistar está afectado?

Mira la pegatina de la parte de abajo. Los afectados conocidos son el Askey RTF3505VW y el MitraStar GPT-2541GNAC (los HGU originales) y el Comtrend VG8050. Si tienes uno de ellos, pregunta a Movistar por la actualización o por un cambio de equipo.

¿Me pueden atacar desde internet?

No con este fallo. El atacante necesita estar al alcance del wifi del router, porque el ataque se hace emitiendo tramas wifi cerca del equipo.

¿Sirve desactivar el WPS?

Puede no ser suficiente. En algunos modelos, el proceso que gestiona WPS sigue funcionando aunque la opción esté desactivada en el menú.

¿Tengo que hacer algo si tengo un Livebox de Orange?

Según Orange, no: las actualizaciones de seguridad se instalan solas en los equipos conectados.

Fuentes

• BandaAncha: el router HGU y el Livebox originales están afectados por una vulnerabilidad crítica en el wifi
• Quentin Kaiser: One parser, two bugs
• Listado de modelos y scripts del investigador
• ADSLZone: modelos de router afectados

Compártelo si te ha resultado útil, sobre todo con ese familiar que sigue con el router que le pusieron en 2017.

¿Qué router tienes en casa? Cuéntame.

Y… a mirar la pegatina, que es lo primero.