Múltiples vulnerabilidades en productos de Welotec
Fecha de publicación 04/11/2026
Identificador
INCIBE-2026-828
Importancia
4 - Alta
Recursos Afectados
- TK100, modelos TK102L y TK102W, con firmware anterior a 3.5.116.
- TK500-v2, modelos TK525L-v2, TK525L-W-v2, TK525W-v2 y TK535L1-v2, con firmware anterior a 1.0.124.
- TK500-v3, modelos TK525L-v3, TK525L-W-G-v3, TK525L-IO-v3, TK525L-W-v3, TK525W-v3 y TK555L-v3, con firmware anterior a 1.0.123.
Descripción
Welotec en coordinación con CERT@VDE ha publicado 6 vulnerabilidades, 5 de severidad alta y 1 media, en las funciones de administración de sus routers TK. Un atacante remoto con privilegios elevados podría ejecutar comandos como root o provocar una denegación de servicio.
Solución
Actualizar el firmware a las siguientes versiones o posteriores:
- TK100: 3.5.116.
- TK500-v2: 1.0.124.
- TK500-v3: 1.0.123.
Además, restringir la administración a equipos de confianza y deshabilitar las funciones VPN y Digital I/O que no sean necesarias, siguiendo las recomendaciones del fabricante.
Detalle
Las siguientes vulnerabilidades permiten inyectar comandos con privilegios de root debido a una validación insuficiente de las entradas:
- CVE-2026-105982: afecta a la función VPN IPsec.
- CVE-2026-105981: afecta a la función Digital I/O.
- CVE-2026-105980: afecta a la función VPN WireGuard.
- CVE-2026-105979: afecta a la función VPN ZeroTier.
- CVE-2026-105978: afecta a las funciones de control de administración.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-105982 | Alta | No | WELOTEC |
| CVE-2026-105981 | Alta | No | WELOTEC |
| CVE-2026-105980 | Alta | No | WELOTEC |
| CVE-2026-105979 | Alta | No | WELOTEC |
| CVE-2026-105978 | Alta | No | WELOTEC |
| CVE-2026-109161 | Media | No | WELOTEC |
Listado de referencias
