Cuatro CVE en AuthPoint y ninguno toca el segundo factor

El 4 de noviembre a las 14:44 UTC, WatchGuard publicó cuatro fichas de vulnerabilidad para el mismo producto: AuthPoint Authentication Gateway, desde la versión 1.0 y hasta cualquiera anterior a la 7.6.0. Puntuaciones CVSS v4 de 9,2, 9,1, 9,1 y 8,9. Si lees las cuatro descripciones una detrás de otra, hay una palabra que no aparece en ninguna: el factor.

Tres de las cuatro hablan del tramo de red entre el gateway y tus servidores de autenticación locales, o entre los componentes del propio gateway. La cuarta habla de la máquina donde vive. Lo que comparten las cuatro es una suposición: dónde está instalado ese gateway y quién puede ponerse en medio.

Las cuatro, una a una

Las cuatro se corrigen en la 7.6.0, que es la primera versión no afectada. Las cuatro están acreditadas a «WatchGuard AI Security Research», es decir, las encontró el fabricante en sus propias pruebas. Ninguna consta como explotada. Y no todas aplican a todos los despliegues, porque la propia ficha lo acota: la 121637 solo afecta a instalaciones con proveedor LDAP; la 121638, a las que tienen un recurso RADIUS, LDAP o ADFS; la 121639, a las de LDAP o Active Directory; la 121640 no lleva esa nota.

El vector, métrica a métrica

Cuatro puntuaciones entre 8,9 y 9,2 parecen un incendio. El vector cuenta otra cosa, y conviene leerlo antes de decidir a qué hora se toca el gateway. En tres de las cuatro aparece AT:P: en CVSS v4 eso es Attack Requirements: Present, o sea que el ataque necesita condiciones que no dependen del atacante. Aquí esa condición es siempre la misma: estar en medio. On-path entre el gateway y el controlador de dominio, o haber visto pasar una petición legítima, o haber conseguido una firma de cabecera válida.

La excepción es la 121639, y es la única que lleva AT:N —sin condiciones previas— con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:H. Esa es la que puede tirar el servicio de autenticación sin más requisito que alcanzar el host por red. También es la única de las cuatro en la que el impacto en integridad se queda en bajo (VI:L): su daño es de disponibilidad.

Hay otro detalle en el vector que cambia la lectura: en tres de las cuatro, VC:N. Confidencialidad, nada. La excepción es la 121638, la del atacante on-path, que sí puede leer lo que pasa. Las otras tres no están pensadas para leerte nada: están pensadas para decidir por ti. En la 121637 y en la 121640 lo que sube a alto es la integridad, y además la integridad del sistema subsiguiente (SI:H): el daño no se queda en el gateway, se lo lleva a lo que hay detrás.

Falsificar el veredicto, no el factor

De las cuatro, la que merece pensarse despacio es la 121637, y no por su puntuación —es la más baja— sino por lo que describe. La redacción original dice que el atacante «forge the authentication result and transaction identifier in the request body». Falsificar el resultado: no el código que teclea el usuario, sino la respuesta que el gateway devuelve diciendo si ese intento valió o no.

Un segundo factor funciona como una cadena de custodia: alguien pregunta, alguien comprueba, alguien responde. Lo que se audita y se compra casi siempre es la comprobación —qué método, qué algoritmo, si es push o TOTP o passkey— y lo que se da por bueno es el transporte de la respuesta. En estas cuatro fichas el transporte es justamente lo roto. Ya escribimos sobre una variante de esto cuando la mitigación que ofrecía un fabricante era quitarte el segundo factor: allí la vía rápida para cerrar un fallo pasaba por desactivar el factor; aquí el factor sigue puesto y quien puede contestar en su nombre es el tramo de red.

La pieza que se instala una vez

Un gateway de autenticación es el puente entre un servicio de MFA que vive fuera y los directorios que viven dentro: LDAP, Active Directory, RADIUS, ADFS. Del tipo de pieza que es ya escribimos a cuenta de el switch de fibra que no es de nadie, así que aquí lo dejamos en una línea: se instala durante el despliegue, funciona, y nadie vuelve a mirarla.

Y no es un proceso, son cuatro. La propia documentación de WatchGuard describe el gateway como cuatro servicios —Gateway, RADIUS, LDAP y ADFS— escuchando en los puertos TCP 9000, 9001, 9002 y 9003. Eso explica la redacción de la 121640, que habla de reproducir una petición legítima «between AuthPoint Gateway components»: hay conversación interna entre esas piezas, y esa conversación también viaja.

El rango de versiones afectadas lo dice sin adornos: 1.0 hasta 7.6.0. Toda la vida del producto. Quien montara el gateway hace cinco años y no lo haya tocado está en el rango por definición. Y aquí es donde esto deja de ser una noticia de un fabricante y pasa a ser una pregunta de inventario: ¿sabes en qué máquina corre el tuyo, qué versión tiene y con qué habla?

Cuándo no hay que alarmarse (y por qué hay que actualizar igual)

Esto es el buen caso. Las encontró el fabricante, las documentó con descripciones precisas, les asignó CVE propios, publicó el arreglo y lo dejó todo en una sola versión. Ninguna está explotada. Y tres de las cuatro necesitan a alguien colocado dentro, entre tu gateway y tus controladores de dominio. Si alguien ya está ahí, AuthPoint no es tu problema más urgente.

Dicho eso: «alguien dentro de la red interna» es precisamente el atacante que existe. Es el portátil comprometido de un comercial, el proveedor con un túnel permanente, la impresora que nadie segmentó, el servidor de una aplicación vieja en la misma VLAN que los controladores de dominio. Tratar ese tramo como seguro porque es interno es la suposición que un enfoque Zero Trust viene a quitar, y estas cuatro fichas son un ejemplo limpio de lo que cuesta mantenerla. Lo vimos desde el otro lado al contar que el túnel entre sedes no le pide el segundo factor a nadie, y apunta en la misma dirección que tu proveedor de identidad no es una aplicación más.

Hay un campo más que casi nadie mira y que aquí vale más que las cuatro puntuaciones juntas. En el bloque que añade CISA sobre estas fichas, la métrica Automatable —si el reconocimiento y la explotación se pueden automatizar contra muchos objetivos— aparece como yes solo en la 121639, y como no en las otras tres. Es la misma que no pedía condiciones previas. Esa pareja, AT:N y Automatable: yes, ordena la tarde: esa es la que alguien puede ir a buscar a escala, y las otras tres son para quien ya ha elegido tu empresa.

Qué haríamos esta semana

Los puntos tres y cuatro son los que de verdad cambian el riesgo y son los únicos que no se resuelven actualizando. Son trabajo de segmentación de red y de Zero Trust, y se hacen una vez y sirven para el siguiente aviso, que vendrá de otro fabricante y describirá otro camino entre dos piezas tuyas.

WatchGuard ha hecho su parte: buscó, encontró, documentó y publicó la 7.6.0. La parte que queda de este lado es más aburrida y no la cierra ningún parche: saber cuántas piezas como esta llevas años teniendo en un tramo que das por bueno, y cuál de ellas está contestando ahora mismo en nombre de otra.

Fuentes. Consultadas el 5 de noviembre de 2026. Las cuatro fichas —descripciones literales, puntuaciones y vectores CVSS v4, identificadores CWE, rango de versiones afectadas (1.0 hasta 7.6.0), fecha de publicación (4 de noviembre de 2026, 14:44 UTC) y crédito a «WatchGuard AI Security Research»— son de los registros CVE oficiales, asignados por WatchGuard como CNA y consultados vía la API de CVE Program: CVE-2026-121637 (8,9 · CWE-345 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N), CVE-2026-121638 (9,1 · CWE-295), CVE-2026-121639 (9,2 · CWE-252, CWE-287 y CWE-306) y CVE-2026-121640 (9,1 · CWE-294). La métrica Automatable (yes en la 121639, no en las otras tres) es del bloque que añade CISA a esas mismas fichas. El alcance por despliegue (LDAP, RADIUS, ADFS, Active Directory) es del campo configurations de cada registro. El aviso AV26-1125 del Centro Canadiense de Ciberseguridad, del 4 de noviembre de 2026, recoge el mismo conjunto y sitúa el producto afectado en «anteriores a 7.6.0». El significado de AT:P y AT:N («Attack Requirements») y el de las métricas de sistema subsiguiente SI y SA son de la especificación CVSS v4.0 de FIRST. Que ninguna de las cuatro conste como explotada es, a 5 de noviembre, lo que reflejan los propios registros y la ausencia de estas CVE en el catálogo KEV de CISA; no es una garantía sobre el futuro. La descripción de qué es el AuthPoint Gateway (la aplicación que se instala en tu red para que AuthPoint hable con tus clientes RADIUS, con el agente de ADFS y con tu Active Directory o LDAP), su desglose en cuatro servicios —Gateway, RADIUS, LDAP y ADFS— y los puertos TCP 9000 a 9003 son de la documentación «About Gateways» de WatchGuard. Los ejemplos de quién comparte segmento son nuestros, de nuestro trabajo de redes y seguridad gestionada, y no están respaldados por esas fuentes. La fotografía de la imagen social es «Krone LSA-PLUS Patch Panel», de Dennis van Zuijlekom, CC BY-SA 2.0 vía Wikimedia Commons; está recortada para quitar el marco negro del original.