MikroTik CVE-2026-14227: tu clave privada WireGuard puede leerse, y desactivar la API no lo deshace

El 30 de julio de 2026, CISA publicó el aviso ICSA-26-211-01 sobre CVE-2026-14227, un fallo de gestión de sesiones en la API de MikroTik RouterOS. La consecuencia reportada es lo bastante concreta como para importar a cualquiera que autoaloje un túnel: la clave privada WireGuard del router puede leerse en texto plano desde una sesión API que no debería tener ese nivel de acceso.

La mayoría de la cobertura se detuvo en el titular. Lo que decide qué debes hacer está más abajo.

En qué consiste el fallo

El servicio API de RouterOS escucha en el puerto TCP 8728 sin cifrar y 8729 sobre TLS. La vulnerabilidad se clasifica como expiración de sesión insuficiente: las sesiones activas conservan el conjunto de permisos que tenían al abrirse, por lo que reducir los derechos de un usuario o dejar que una sesión caduque no surte efecto necesariamente en una conexión ya establecida.

El resultado es un desajuste de privilegios. Una sesión que debería haber sido degradada sigue leyendo configuración que ya no debería ver y, en un router que termina un túnel WireGuard, esa configuración contiene la clave privada estática.

Por qué la puntuación despista

La gravedad publicada es moderada: CVSS 4.0 base 6,9 y CVSS 3.1 base 4,9 según la ficha de Rapid7. Varios medios lo llamaron crítico. No es lo que dice la puntuación, y repetir el adjetivo más ruidoso no te ayudaría.

Pero leer el número como si fuera toda la historia es el error contrario. Una puntuación CVSS mide lo difícil que es explotar algo y hasta dónde llega. No mide lo permanente que es la consecuencia. Un fallo puntuado como medio que expone un token de sesión rotatorio es una mala tarde. Un fallo puntuado como medio que expone una identidad criptográfica estática pertenece a otra categoría de problema, porque la exposición no envejece.

La parte que se salta: la clave no caduca

Este es el núcleo práctico. En WireGuard, cada par posee un par de claves estático, y esa identidad es lo que el otro lado confía. Una contraseña se cambia, un token caduca, una sesión muere. Una clave privada guardada en la configuración de un router no hace nada de eso por sí sola.

Así que la secuencia que sigue la gente, desactivar la API y darlo por resuelto, cierra la puerta sin cambiar la cerradura. Si la clave era legible mientras la API estuvo expuesta, desactivar la API después no la des-filtra. La rotación es el paso que restaura de verdad la relación de confianza, y es el que más se pospone porque obliga a tocar cada par.

Qué cubre y qué no cubre el secreto hacia adelante

Conviene ser preciso, porque la frase descifrado de todo el tráfico asociado se ha repetido mucho y es fácil leerla como algo peor de lo que es.

El handshake de WireGuard deriva claves de sesión efímeras, que es lo que da al protocolo su secreto hacia adelante. Un atacante que tenga tu clave privada estática, y nada más, no puede descifrar retroactivamente el tráfico que capturó antes. Esa propiedad sigue intacta.

Lo que la clave estática sí le da es identidad. Puede presentarse como ese par, completar handshakes e interceptar activamente sesiones nuevas. En la práctica eso significa suplantación e interceptación activa de aquí en adelante, no un archivo legible del pasado. Es serio, pero es otra amenaza, y la distinción cambia tu respuesta: no estás evaluando daños sobre tráfico antiguo, estás revocando una identidad.

Qué hacer, en orden

Determina si la API era siquiera alcanzable. Si el servicio estaba desactivado, o ligado solo a una interfaz que un atacante nunca podría tocar, tu exposición es teórica. Comprueba antes de alarmarte y antes de reconstruir nada.

Desactiva el servicio API si no lo necesitas. Es el rodeo al que apunta el aviso y, en una instalación doméstica o de administrador único, la API suele estar activada sin usarse jamás.

Cierra sesión a los usuarios cuando les reduzcas permisos. La propia indicación de MikroTik es que un usuario con permisos reducidos debe quedar completamente desconectado para que la nueva política se aplique. Merece entrar en tu procedimiento, no hacerse una sola vez, porque es exactamente el comportamiento que el fallo aprovecha.

Rota las claves si la exposición era plausible. Genera un par nuevo en el router, actualiza cada par con la nueva clave pública y elimina la antigua. Es el paso tedioso y el único que termina la exposición en lugar de pausarla.

No te fíes de un rango de versiones leído de segunda mano. La prensa dice que todas las versiones con la API activada están afectadas; la ficha de Rapid7 no indica ningún rango. Comprueba tu propio equipo en vez de darte por a salvo porque un número de un artículo no coincidía con el tuyo.

El punto más amplio para quien autoaloja

Ejecutar tu propio túnel significa que la clave vive en hardware que controlas, que es justo el atractivo y justo la exposición. La seguridad de un VPN autoalojado es la de la máquina que lo ejecuta, incluidas las interfaces de administración que olvidaste que estaban escuchando.

No es un argumento contra autoalojar; es un argumento para tratar el plano de administración como parte del VPN. Si estás auditando tu propia instalación, nuestra guía de solución de problemas del handshake de WireGuard explica cómo leer el estado de los pares, y el glosario de VPN autoalojado define los términos usados arriba.

En resumen

CVE-2026-14227 puntúa como medio y expone algo que no caduca. Comprueba si tu API era alcanzable, desactívala si no la usas, cierra sesión a los usuarios cuando cambien sus derechos y rota la clave si la exposición era plausible. El secreto hacia adelante protege tu tráfico pasado; nada protege una identidad que dejas en su sitio después de que la hayan leído.