Múltiples vulnerabilidades en el router Wave 7 de Acer

Fecha de publicación 05/06/2026

Identificador

INCIBE-2026-401

Importancia

5 - Crítica

Recursos Afectados

Routers Acer Wave 7 que tengan instalado el firmware con la versión T7c_GBL_1.01.000055 o anterior.

Descripción

El investigador Gergo Pap ha informado a Acer de 2 vulnerabilidades de severidad crítica que podrían permitir obtener credenciales de acceso al dispositivo y/o instalar malware en él.

Solución

Aunque por el momento no hay un parche que resuelva el problema, Acer está trabajando en una solución y se prevé que a finales de junio 2026 lanzarán una nueva versión del firmware que corrija estos problemas.

Detalle

Las dos vulnerabilidades son:

CVE-2026-49200: a través de la interfaz web es posible acceder a un fichero (acer_cgi.log) del firmware que contiene credenciales de acceso almacenadas sin cifrar. Con estas credenciales un atacante podría acceder al dispositivo sin autorización.
CVE-2026-49201: el fichero responsable de las copias de seguridad del dispositivo (upload.cgi) tiene en su código las claves de cifrado de la información. Con estas claves un atacante puede descifrar, modificar y re-cifrar las copias de seguridad del sistema, facilitando que se pueda instalar malware en ellas.

CVE