Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Mercusys AC12G (EU) (CVE-2026-36609)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro
Fecha de publicación:
03/06/2026
Última modificación:
22/07/2026

Descripción

El router Mercusys AC12G (EU) V1 con firmware AC12G(EU)_V1_200909 utiliza un nonce de autenticación estático que no cambia entre solicitudes de la misma IP de origen. Combinado con la codificación de contraseña predecible basada en XOR (función securityEncode), esto permite a un atacante revertir los tokens de autenticación capturados para recuperar la contraseña en texto plano.

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x
7.30
Gravedad 3.x
ALTA

Referencias a soluciones, herramientas e información