Un router no es solo la caja que da Wi‑Fi: concentra las credenciales, las rutas, las VPN, las VLAN y, a menudo, la puerta de entrada a una red doméstica o de empresa. La alerta AA26‑194A de CISA, publicada el 13 de julio de 2026, vuelve a recordar una realidad incómoda: los atacantes no necesitan una vulnerabilidad exótica cuando encuentran dispositivos expuestos, sin actualizar o mal configurados.
El aviso describe actividad atribuida a actores vinculados al FSB ruso contra equipos de red vulnerables o mal configurados. Entre las prácticas observadas figura el escaneo de rangos de Internet en busca de agentes SNMP que aceptan cadenas de comunidad comunes o por defecto. No es un aviso que declare a MikroTik o UniFi vulnerables por definición; es una llamada a revisar configuraciones, exposición y mantenimiento en cualquier router, firewall o equipo gestionable.
La prioridad: descubrir qué está expuesto
Antes de tocar reglas o actualizar firmware, haz inventario. Anota gateway, puntos de acceso, switches, controladores, cámaras, NAS, VPN y cualquier gestión remota. Para cada equipo apunta modelo, versión de firmware, IP de administración, método de acceso, responsable y si tiene una interfaz publicada hacia Internet.
Muchos incidentes empiezan con servicios de administración que se dejaron abiertos para resolver una urgencia: una interfaz web, SSH, WinBox, API, SNMP, acceso cloud o reenvío de puerto. La regla básica es sencilla: la administración debe vivir en una red de gestión o VPN, no en Internet. Si un proveedor necesita acceso, entrégalo de forma temporal, con una identidad individual y registro de actividad.
SNMP: útil para monitorizar, peligroso si se deja por defecto
SNMP permite recoger métricas de equipos de red y tiene sentido en una plataforma de monitorización. El problema aparece cuando queda activo sin necesidad, escucha desde redes no autorizadas o mantiene cadenas de comunidad previsibles. La alerta de CISA menciona específicamente la búsqueda de agentes que aceptan valores comunes o por defecto.
- Si no usas SNMP, desactívalo.
- Si lo necesitas, limita la consulta a la IP o VLAN exacta del servidor de monitorización.
- Evita comunidades por defecto y no reutilices secretos.
- Prioriza SNMPv3 cuando el equipo y la plataforma lo soporten: aporta autenticación y cifrado.
- Bloquea desde la WAN UDP/161 y UDP/162 salvo que exista un motivo documentado y controles adicionales.
- Revisa alertas por cambios de configuración, reinicios inesperados y nuevos dispositivos monitorizados.
MikroTik: control fino, pero con responsabilidad
RouterOS ofrece mucha flexibilidad, y precisamente por eso conviene separar la tarea de «hacer que funcione» de la tarea de «hacer que sea seguro». Empieza por identificar servicios de administración activos y su alcance. Este comando sirve para inspeccionar, no modifica la configuración:
/ip service printDesde WinBox o WebFig, revisa que solo estén habilitados los servicios que utilizas. Restringe cada uno a una red de administración concreta mediante el campo Available From o con reglas de firewall de entrada; desactiva los servicios innecesarios. Para comprobar el estado de SNMP, usa:
/snmp printNo copies reglas de firewall de Internet sin adaptarlas. Los nombres de interfaces, listas WAN, subredes y el orden de las reglas cambian entre instalaciones. Antes de editar, exporta la configuración y conserva una copia fuera del router. Si administras el equipo desde remoto, deja una sesión alternativa o acceso de consola preparado para evitar bloquearte.
UniFi: una consola centralizada no sustituye al hardening
UniFi facilita inventario, actualizaciones y perfiles, pero necesita el mismo criterio de exposición. Revisa las cuentas con acceso al Site Manager y al controlador, activa MFA para los administradores y elimina usuarios antiguos o compartidos. Separa la red de administración de usuarios, invitados e IoT; y aplica reglas explícitas para impedir que esas VLAN alcancen la consola o los dispositivos de infraestructura.
En los gateways y switches, revisa servicios de gestión, reenvíos de puerto y accesos remotos. No trates una actualización Release Candidate como una respuesta automática a una alerta: confirma modelo y rama, exporta configuración, lee notas de versión y prueba primero en un entorno no crítico. Para incidencias reales de seguridad, prioriza siempre las versiones estables o las instrucciones oficiales del fabricante.
Una lista de verificación que sí reduce riesgo
- Firmware: actualiza router, controlador, APs y switches dentro de una ventana de mantenimiento; valida conectividad, VLAN, Wi‑Fi, VPN y adopciones al terminar.
- Identidad: elimina credenciales por defecto, cuentas compartidas y administradores que ya no necesitan acceso. Activa MFA donde exista.
- Plano de gestión: permite administrar solo desde una VLAN dedicada o mediante VPN; no desde la red de invitados ni desde Internet.
- Firewall: aplica «denegar por defecto» en la entrada desde WAN y abre únicamente lo documentado. Revisa NAT y reglas antiguas.
- Backups: exporta configuraciones antes de cambios y conserva una copia protegida, con fecha y modelo. Prueba la recuperación.
- Observabilidad: centraliza logs, configura alertas de login fallido, cambios de configuración, reinicios y consumo anómalo de ancho de banda.
No confundir visibilidad con seguridad
Tener una aplicación móvil, un controlador cloud o un panel bonito no equivale a tener la red protegida. Tampoco basta con ocultar un puerto. La defensa real combina actualización, segmentación, mínimos privilegios, autenticación fuerte y una ruta de recuperación. Si un atacante consigue una cuenta de administrador o llega a la VLAN de gestión, el riesgo cambia radicalmente aunque el Wi‑Fi use una contraseña compleja.
La recomendación razonable no es entrar en pánico ni desactivar servicios al azar. Es revisar con método: inventario, exposición, credenciales, firmware, firewall, backup y monitorización. Para una pyme, un homelab o una vivienda conectada, ese orden evita tanto dejar una puerta abierta como perder conectividad por un cambio precipitado.
Si tu red ha crecido con routers del operador, MikroTik, UniFi, cámaras, NAS, domótica y accesos remotos, en allado.es pueden ayudarte a auditar segmentación, firewall, VPN, copias de configuración y exposición externa antes de que una alerta se convierta en una incidencia.