WatchGuard ha corregido tres fallos críticos en AuthPoint Authentication Gateway que permiten tumbar la autenticación, interceptar el tráfico con el directorio o ejecutar acciones de administrador. Afecta a todas las versiones anteriores a la 7.6.0. Si usas este Gateway para conectar el doble factor con Active Directory, LDAP, RADIUS o ADFS, actualiza a la 7.6.0 hoy.
Lo esencial
- INCIBE-CERT publicó el aviso INCIBE-2026-840 el 5 de noviembre de 2026 con importancia 5 (crítica). Afecta a AuthPoint Authentication Gateway desde la versión 1.0 hasta antes de la 7.6.0.
- CVE-2026-121639 (crítico): falta autenticación en una función crítica. Un atacante remoto sin credenciales, con acceso de red al equipo, puede interrumpir la autenticación y borrar la configuración local de sincronización de directorios. Afecta a instalaciones con LDAP o Active Directory.
- CVE-2026-121638 (crítico): una validación incorrecta de certificados permite a quien esté en la ruta de comunicación interceptar y modificar el tráfico entre el Gateway y los proveedores locales de autenticación. Afecta a instalaciones con RADIUS, LDAP o ADFS.
- CVE-2026-121640 (crítico): reutilizar una petición legítima capturada entre componentes del Gateway permite omitir la autenticación y ejecutar acciones de administrador, incluida la interrupción del servicio.
- No consta explotación conocida. Los fallos los detectó el equipo WatchGuard AI Security Research. SecurityWeek añade que WatchGuard también corrigió un cuarto fallo, de severidad alta, en la validación de integridad (CVE-2026-121637).
¿Me afecta si uso WatchGuard?
Solo si tienes instalado AuthPoint Authentication Gateway. Es la pieza que conecta el doble factor de AuthPoint con tu directorio local: Active Directory, LDAP, RADIUS o ADFS. Si no usas WatchGuard AuthPoint, no tienes que hacer nada con este aviso.
El problema es que muchas empresas no saben si lo tienen. Lo instaló el proveedor de TI o el MSP hace años, funciona y nadie lo ha vuelto a mirar. Las versiones afectadas empiezan en la 1.0, así que cualquier instalación que no se haya actualizado recientemente entra en el aviso.
Cada fallo depende de la configuración. CVE-2026-121639 afecta a quien sincroniza con LDAP o Active Directory. CVE-2026-121638, a quien usa RADIUS, LDAP o ADFS. Para CVE-2026-121640 el aviso no limita la configuración. En la práctica: si tienes el Gateway, da por hecho que te afecta.
¿Qué puede pasar si no actualizo?
Tres escenarios, todos en el punto más sensible de tu red: el control de acceso.
- Nadie puede entrar. Si el Gateway cae, tus empleados pueden quedarse sin autenticarse. Si además se borra la configuración de sincronización de directorios, la recuperación no es inmediata.
- Alguien lee y cambia lo que se dice tu directorio. Interceptar y modificar el tráfico entre el Gateway y el proveedor de autenticación compromete precisamente lo que el doble factor debía proteger.
- Alguien actúa como administrador sin haberse autenticado.
Ninguno de los tres exige credenciales. Sí exigen algo de posición: acceso de red al equipo, estar en la ruta de comunicación o haber capturado una petición entre componentes. Por eso limitar quién llega al Gateway reduce el riesgo mientras actualizas.
Qué hacer hoy
- Pregunta a tu responsable de TI o a tu MSP si tenéis AuthPoint Gateway instalado y qué versión es.
- Si es anterior a la 7.6.0, actualiza a la 7.6.0 o posterior.
- Hasta que actualices, limita el acceso de red al equipo del Gateway solo a los sistemas que lo necesitan.
- Tras actualizar, comprueba que la sincronización de directorios y el inicio de sesión con MFA siguen funcionando.
Qué significa para una pyme
El doble factor se vende, con razón, como la medida que más ataques frena. Pero el componente que lo conecta con tu directorio también es software, y si falla, falla la puerta entera. Aquí se juntan tres fallos críticos en esa misma pieza: uno deja a la plantilla sin acceso, otro permite manipular la conversación con el directorio y otro da acciones de administrador sin autenticar.
Que no haya explotación conocida te da margen, no una excusa. La corrección es una sola actualización y está disponible. Lo que suele frenar a una pyme no es la dificultad técnica, sino no saber quién se encarga del Gateway. Si la respuesta es «el MSP», pídele hoy confirmación por escrito de la versión instalada.
Y una lección que va más allá de este aviso: los equipos de autenticación no deberían ser accesibles desde cualquier punto de la red. Dos de estos fallos dependen de tener acceso de red o de estar en la ruta de comunicación. Segmentar bien reduce el daño del próximo fallo, sea de WatchGuard o de otro fabricante. Si quieres revisar cómo está montado tu control de acceso, en ciberseguridad trabajamos justo eso.
Preguntas frecuentes
¿Se están explotando ya estos fallos?
No. INCIBE-CERT marca los tres como críticos y sin explotación conocida.
¿Qué versión corrige los fallos?
La 7.6.0 de AuthPoint Authentication Gateway. Todas las versiones desde la 1.0 hasta antes de la 7.6.0 están afectadas.
¿Tengo que hacer algo si no uso AuthPoint?
No. El aviso solo afecta a AuthPoint Authentication Gateway.
