Vulnerabilidad crítica en Junos OS Evolved podría permitir ejecución remota como root en PTX Series

Los PTX Series son enrutadores de núcleo pensados para entornos de alta capacidad y baja latencia —muy habituales en proveedores de internet, operadoras y grandes nubes—; por eso cualquier fallo en estos aparatos tiene potencial de impacto a gran escala. Puede consultarse la ficha técnica del producto en la web de Juniper: PTX Series routers.

La raíz del problema es una asignación de permisos incorrecta dentro del componente encargado de la detección de anomalías “on-box”. Ese marco de detección debía comunicarse únicamente a través de la interfaz de enrutamiento interna, pero un error permitió que quedara accesible a través de un puerto expuesto hacia redes externas. Al ejecutarse el servicio con privilegios de sistema (root) y estar activado por defecto, la exposición genera una vía directa para comprometer el equipo si un atacante puede alcanzar ese puerto desde la red.

La vulnerabilidad ha sido registrada como CVE-2026-21902, y Juniper publicó un aviso técnico con detalles y recomendaciones en su portal de soporte: avisos de seguridad de Juniper. Según el fabricante, en el momento de la publicación no había indicios de que la vulnerabilidad se estuviera explotando activamente en la naturaleza, pero eso no mitiga el riesgo inherente mientras existan instalaciones sin parchear.

En cuanto a alcance, el fallo afecta a las ediciones Junos OS Evolved en PTX en releases anteriores a 25.4R1-S1-EVO y 25.4R2-EVO; Juniper ha distribuido correcciones en las versiones 25.4R1-S1-EVO, 25.4R2-EVO y 26.2R1-EVO. Es importante destacar que las versiones previas a 25.4R1-EVO y las ramas estándar (no Evolved) de Junos OS no se consideran afectadas por esta CVE. También conviene tener en cuenta que Juniper no evalúa lanzamientos que ya están en fase de fin de soporte (EoL), por lo que los equipos que ejecuten releases fuera de mantenimiento podrían quedar sin mitigaciones oficiales.

Si no es posible aplicar el parche de inmediato, Juniper sugiere reducir la exposición del servicio vulnerable limitando el acceso a los endpoints afectados mediante filtros de firewall o listas de control de acceso (ACL) para que solo redes y hosts de confianza puedan comunicarse con el equipo. Como alternativa temporal, los administradores pueden desactivar el servicio de detección de anomalías con el siguiente comando en el plano de control del equipo: 'request pfe anomalies disable'. Hay que valorar que deshabilitar esa funcionalidad puede afectar la visibilidad y la detección de comportamientos anómalos en la red, por lo que debe considerarse como medida temporal hasta la actualización.

Para operadores y equipos de ingeniería, la recomendación práctica es priorizar una actualización planificada en cuanto sea posible, realizar las pruebas necesarias en entornos de pre-producción y desplegar los parches durante ventanas de mantenimiento controladas. Además, conviene revisar las configuraciones de segmentación de red, asegurar que las interfaces administrativas y de gestión no estén expuestas a redes no confiables y monitorizar los logs y las telemetrías del equipo en busca de accesos anómalos.

Los equipos de infraestructura de red suelen ser objetivos atractivos para operadores avanzados: su posición en la topología y su capacidad para mover grandes volúmenes de tráfico los convierte en dianas de alto valor. Juniper ha visto en años recientes distintas campañas que tenían como objetivo infraestructuras de red, por lo que esta clase de vulnerabilidades exige una respuesta rápida y coordinada entre proveedores, operadores y equipos de seguridad.

Si gestionas infraestructura que incluya PTX con Junos OS Evolved, revisa con urgencia el inventario de versiones, aplica las correcciones facilitadas por Juniper y, mientras tanto, reduce la superficie de ataque según las guías del fabricante. La combinación de parcheo, segmentación y detección es la mejor forma de minimizar el riesgo hasta que todos los equipos estén actualizados. Para información oficial y detalles técnicos adicionales es recomendable leer el boletín de Juniper y la entrada del NVD enlazados arriba.