Más de veinte modelos de routers fabricados por la compañía china Zbtlink —también comercializados bajo la marca Wiflyer— han sido señalados por contener un implante oculto capaz de otorgar control total del dispositivo a un servidor remoto ubicado en China. La firma de ciberseguridad VulnCheck bautizó el hallazgo como ENDLESSDOORS y le asignó el identificador CVE-2026-66747, con una puntuación de gravedad crítica. El componente arranca automáticamente al encender el router, se disfraza como un proceso legítimo del núcleo Linux y contacta con un servidor de mando y control cada pocos segundos, sin necesidad de que el dispositivo tenga ningún puerto abierto hacia internet. El caso reabre el debate sobre la fiabilidad del hardware de red fabricado en China, justo cuando varios gobiernos occidentales ya habían empezado a restringir su importación. A continuación repasamos cómo funciona esta puerta trasera, qué modelos están afectados y qué medidas puede tomar quien tenga uno de estos routers en casa o en la oficina.

Un implante que lleva una década sin actualizarse

El corazón de ENDLESSDOORS es una herramienta de código abierto llamada rctl (remote control linux), publicada en GitHub en enero de 2015 y abandonada por su autor original poco después. Zbtlink integró esta utilidad como paquete de OpenWrt, compilándola en una librería (librctl.so) que se ejecuta con privilegios de root desde el arranque bajo el nombre de proceso kworker, imitando así a los hilos legítimos del kernel de Linux que aparecen habitualmente entre corchetes en cualquier listado de procesos. La diferencia, según explicó el investigador Jacob Baines, director de tecnología de VulnCheck, es que estos procesos concretos no llevan corchetes y consumen memoria real, una pista que permitió identificarlos durante el análisis de firmware. El implante se comunica en texto plano, sin ningún tipo de cifrado ni autenticación, a través del puerto TCP 7000, y reintenta la conexión con el servidor remoto aproximadamente cada 35 segundos. Cuando el servidor envía la cadena de comando «rctlbash», el router abre una segunda conexión por el puerto 7001, reserva una pseudoterminal y lanza una shell interactiva con permisos totales sobre el sistema. En la práctica, cualquiera que controle ese dominio de mando y control puede ejecutar órdenes arbitrarias como si tuviera acceso físico al dispositivo.

Lo llamativo del caso es que, al tratarse de una conexión saliente iniciada por el propio router, ningún cortafuegos convencional ni la ausencia de una IP pública protegen al dispositivo: el tráfico atraviesa la traducción de direcciones de red (NAT) y los filtros de salida habituales exactamente igual que cualquier sesión TCP legítima, algo que Baines detalló en la publicación original de VulnCheck sobre ENDLESSDOORS. VulnCheck afirma haber comprobado el funcionamiento real del implante interceptando las comunicaciones salientes de uno de sus propios routers de prueba y logrando abrir una shell remota con éxito, lo que descarta que se trate de una simple vulnerabilidad accidental de programación.

Los modelos afectados y el problema del etiquetado

VulnCheck examinó veintiún imágenes de firmware distintas disponibles en la web oficial de Zbtlink, correspondientes a más de dos años de actualizaciones, y encontró el implante presente en todas ellas sin excepción. Entre los modelos identificados figuran el CPE2801, el WE1026-5G-WD, el WE2007, el WE5931AC, el WG1602, el WG2105 o el Z8102AX-2DSIM, entre otros. El problema, tal y como recoge el análisis publicado en The Hacker News, es que Zbtlink opera además como fabricante OEM y ODM, es decir, produce el mismo hardware y firmware para que otras marcas lo vendan con su propio logotipo, lo que complica enormemente saber cuántos dispositivos afectados circulan realmente bajo nombres comerciales distintos. VulnCheck recomienda por ello identificar el router por su número de modelo exacto, impreso en la carcasa o visible en el panel de administración, y no fiarse únicamente de la marca que aparece en la caja. La compañía estima de forma conservadora que existen al menos 100.000 unidades activas distribuidas por el mundo, aunque reconoce que se trata de una cifra de exposición potencial y no de un recuento confirmado de víctimas.

El Zbtlink AX3000, el modelo que sirvió de banco de pruebas

El dispositivo concreto que los investigadores utilizaron para documentar el ataque fue un Zbtlink AX3000, con número de modelo Z8102AX-2DSIM y también comercializado como Z8102AX, adquirido a través de Alibaba. Se trata de un router doméstico Wi-Fi 6 orientado al mercado de consumo, del tipo que suele instalarse en pequeñas oficinas, comercios o viviendas particulares gracias a su precio competitivo frente a marcas más conocidas. Al analizar su listado de procesos, el equipo de VulnCheck localizó dos entradas etiquetadas como kworker que no aparecían entre corchetes y que ocupaban memoria de forma persistente, una anomalía suficiente para arrancar la investigación forense completa. El firmware de este modelo, como el del resto de la gama, arranca el implante mediante un script de inicialización llamado skworker, un nombre elegido deliberadamente para camuflarse entre las decenas de procesos legítimos del sistema operativo OpenWrt sobre el que se construyen estos routers. Tras hacerse pública la investigación, Zbtlink retiró temporalmente las descargas de firmware de su web y publicó un aviso reconociendo «vulnerabilidades de seguridad» detectadas en versiones seleccionadas, aunque negó ante medios como The Register que se tratara de una puerta trasera intencionada, calificando la función como una herramienta de mantenimiento posventa destinada solo a unidades de muestra.

Un episodio más en la desconfianza hacia el hardware de red chino

El hallazgo llega en un momento en que la seguridad de los equipos de red fabricados en China ya estaba bajo escrutinio. En febrero, el estado de Texas presentó una demanda contra TP-Link Systems alegando que sus dispositivos habían quedado expuestos a un posible acceso del gobierno chino, algo que la compañía negó rotundamente. Por su parte, la Comisión Federal de Comunicaciones estadounidense había empezado a restringir la certificación de equipos necesaria para vender routers extranjeros de consumo en el país, aunque posteriormente concedió excepciones a varios fabricantes no chinos. Ninguna de estas dos disputas guarda relación directa con Zbtlink, pero el caso ENDLESSDOORS aporta algo que hasta ahora faltaba en el debate: una puerta trasera funcional, verificada de forma independiente y presente en todo un catálogo de productos, tal como recoge la cobertura de The Register sobre la respuesta de Zbtlink. Para quien tenga uno de estos routers, la recomendación de los investigadores no es simplemente cambiar la contraseña de administración ni realizar un reinicio de fábrica, ya que el implante forma parte del propio firmware de origen. La opción más segura pasa por identificar el modelo exacto, aislarlo de la red mientras no exista un firmware corregido disponible y valorar su sustitución por un dispositivo de un fabricante distinto.

Reflexión final

Casos como el de ENDLESSDOORS recuerdan que la seguridad de la red doméstica no depende solo del router más visible o del proveedor de internet contratado, sino también de aparatos secundarios —repetidores, puntos de acceso, routers 4G o dispositivos IoT económicos— que a menudo se instalan y se olvidan durante años sin recibir ninguna actualización. La facilidad con la que Zbtlink pudo integrar una herramienta abandonada de 2015 dentro de firmware distribuido en 2023 y 2024 sin que nadie lo detectara durante tanto tiempo pone de manifiesto lo poco auditado que sigue estando buena parte del hardware de red de bajo coste que llega a través de marketplaces internacionales. Revisar periódicamente el modelo exacto de los dispositivos conectados a casa, comprobar si figuran en listados de vulnerabilidades como el publicado por VulnCheck y priorizar fabricantes con políticas claras de actualización de firmware son medidas sencillas que, aunque no eliminan el riesgo por completo, sí reducen notablemente la ventana de exposición.