Falla crítica en Juniper Junos OS permite controlar routers y firewalls sin contraseña desde la web

Juniper Networks publicó el 14 de octubre correcciones para una docena de fallas de severidad crítica en Junos OS, el sistema que corre en sus routers, switches y firewalls. Las dos más graves están en J-Web, la consola web de administración de los equipos: permiten que alguien sin usuario ni contraseña tome el control. Los equipos de Juniper son comunes en proveedores de internet, operadoras y grandes redes corporativas.

Qué es la falla

J-Web es la página que se abre en el navegador para configurar un equipo Juniper sin usar la línea de comandos. Las dos fallas permiten saltear su inicio de sesión y ejecutar comandos con permisos de root, es decir, con control total del equipo.

En términos técnicos, son dos fallas de autenticación incorrecta (CWE-287). CVE-2026-101956 deja ejecutar comandos de Junos como root a través de la interfaz web expuesta. CVE-2026-101986 permite saltear la autenticación de J-Web con una petición HTTP armada y ejecutar contenido CGI con privilegios elevados. Ninguna exige credenciales ni acción de un usuario.

En el mismo boletín hay otras fallas de 9,8 que no pasan por J-Web: desbordamientos de memoria en el proceso de enrutamiento (rpd), en el de BGP y en componentes de los firewalls SRX y los routers MX. Varias se pueden activar desde la red sin autenticación.

A quién afecta

CVE-2026-101986 (aviso JSA112187) afecta a Junos OS y a Junos OS Evolved en casi todas las ramas con soporte: anteriores a 23.2R2-S7.7, 23.4 antes de 23.4R2-S8.13, 24.2 antes de 24.2R2-S5.5, 24.4 antes de 24.4R2-S5, 25.2 antes de 25.2R2-S2, 25.4 antes de 25.4R1-S3 y 26.2 antes de 26.2R1-S2, con sus equivalentes en Evolved. CVE-2026-101956 (aviso JSA112188) afecta a Junos OS 25.2, 25.4 y 26.2 antes de las mismas versiones corregidas. El riesgo es para los equipos con J-Web activado y alcanzable desde la red.

Estado de explotación

Sin explotación conocida: los avisos de Juniper no reportan ataques y las fallas no están en el catálogo de vulnerabilidades explotadas de CISA.

Antecedentes

J-Web tiene historial. En 2024, CVE-2024-21591 permitía ejecutar código como root sin autenticación en firewalls SRX y switches EX con J-Web activado, y en 2023 una cadena de fallas de J-Web se explotó poco después de publicarse.

Qué hacer

• Actualizar Junos OS a la versión corregida de cada rama.
• Mientras tanto, desactivar J-Web o limitar su acceso a equipos de administración de confianza, la medida que Juniper recomendó en fallas anteriores de esta consola.
• No dejar la administración web expuesta a internet.
• Revisar los avisos JSA112187 y JSA112188 y el resto del boletín de octubre, en especial las fallas de rpd y BGP en routers de borde.

Ficha técnica

• CVE: CVE-2026-101956 y CVE-2026-101986
• CVSS: 9,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H); 9,3 en CVSS 4.0
• CWE: CWE-287, autenticación incorrecta
• Producto: Juniper Junos OS y Junos OS Evolved (J-Web)
• Versiones corregidas: 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3 y 26.2R1-S2
• Avisos del fabricante: JSA112187 y JSA112188, 14 de octubre de 2026