El Pentágono homologa el ordenador de drones de Lantronix días después de que la CISA alertara de fallos de root en sus pasarelas
La inclusión en el marco Blue UAS es real. También lo son el historial de seguridad de septiembre que la cobertura del anuncio omitió y la votación del 3 de noviembre sobre otros 1,8 millones de acciones del plan.
Vincent Jiang · 4 min read
Lantronix anunció el 1 de octubre de 2026 que su ordenador de drones Open-Q 8550CS se ha incorporado al marco Blue UAS, la lista de componentes homologados que la Defense Contract Management Agency (DCMA) mantiene para los programas de drones del Gobierno de EE UU, tras una revisión que, según la compañía, se extendió más de seis meses más allá de sus certificaciones existentes 1. La cobertura que salió tiene su origen en un comunicado de pago 17. Los ocho días previos marcaron otro récord.
El Pentágono dedicó seis meses a someter a escrutinio el cerebro de dron de Lantronix; en los ocho días previos al anuncio, investigadores publicaron fallos de root en dos de sus otros productos ya en el mercado 123.
Una homologación que ahorra meses a los fabricantes OEM
La DCMA examinó el hardware del módulo, su lista de materiales, el firmware, los flujos de datos y la cadena de suministro, y la inclusión en la lista ahorra a los fabricantes OEM de drones sus propios meses de validación 1. La orden ejecutiva 14307, «Unleashing American Drone Dominance» («Desatando el dominio estadounidense de los drones»), ordena a las agencias ampliar el marco 1.
Tres líneas de producto señaladas desde junio
El 29 de septiembre, la CISA advirtió de que la pasarela de telefonía móvil G520, desplegada en todo el mundo en transporte, energía y agua, aceptaba paquetes de software no autorizados e incluía su clave de firma de producción dentro de un SDK (kit de desarrollo de software) de distribución pública 2. Ambas vías acaban en ejecución de código con privilegios de root; ambas quedan corregidas en el firmware 2.6.0.7R6, y la CISA no reporta explotaciones conocidas 2.
El 23 de septiembre, el equipo 0day Rubbish reveló una cadena de inyección de comandos autenticada que escala hasta root en el servidor de dispositivos SGX5150, con una puntuación de 7,2, además de una omisión de la autenticación Digest valorada en 9,8 3. La inyección se verificó en emulación y no sobre hardware, y todavía no se ha asignado ningún CVE 3.
El fallo de junio ya figura en el catálogo de vulnerabilidades explotadas
En junio, la CISA ya había incluido en su catálogo de vulnerabilidades explotadas un fallo de gravedad 9,8 que no requiere autenticación en los servidores de consola EDS5000, uno de los 22 que Forescout detectó en convertidores de Lantronix y Silex 4. La G520 tiene parche; el informe sobre el SGX5150 recoge la notificación al fabricante y ninguna corrección 23. El patrón es lo que importa.
| Producto | Fecha | Fallo | Estado |
|---|---|---|---|
| La pasarela de telefonía móvil G520 | 29 de septiembre | Instalación de paquetes no autorizados y distribución de la clave de firma de producción en un SDK público; ambos caminos terminan en root | Parcheado en el firmware 2.6.0.7R6; sin explotación conocida |
| El servidor de dispositivos SGX5150 | 23 de septiembre | Inyección de comandos que escala hasta root, con puntuación de 7,2, más una omisión de la autenticación Digest valorada en 9,8 | Fabricante notificado; sin corrección ni CVE |
| Servidores de consola EDS5000 | junio | Fallo que no requiere autenticación, con puntuación de 9,8, uno de los 22 detectados por Forescout | En el catálogo de vulnerabilidades explotadas de la CISA |
Qué compra quien paga 2,39 veces las ventas
Los sistemas no tripulados aportaron 12,6 millones de dólares de los ingresos del ejercicio fiscal de 2026, frente a una contribución mínima un año antes, sobre unas ventas totales de 120,9 millones de dólares, y las negociaciones activas pasaron de unos 10 a más de 30 5. Los nombres citados van de Teal Drones y Swarmer a AVT Australia 8.
La previsión del ejercicio fiscal de 2027 implica entre 18 y 24 millones de dólares en ingresos por drones, un aumento de entre el 43 % y el 90 %
- Estimate
Data
| Value | |
|---|---|
| FY26 real | $12.6M |
| FY27 implícito (mínimo) (estimate) | $18M |
| FY27 implícito (máximo) (estimate) | $24M |
La dirección prevé que los drones aporten entre el 15 % y el 20 % de las ventas del ejercicio fiscal de 2027; con ventas constantes, eso implica entre 18 y 24 millones de dólares, un crecimiento de entre el 43 % y el 90 % 5. El balance está saneado: más de 60 millones de dólares en caja y sin deuda tras amortizar los últimos 8,7 millones de dólares de préstamos, y la pérdida neta según los principios de contabilidad generalmente aceptados (GAAP) se va reduciendo 6.
La pérdida según GAAP se reduce de 3,87 a 0,27 millones de dólares y roza el punto de equilibrio
- Ingresos
- Resultado neto
Data
| Ingresos | Resultado neto | |
|---|---|---|
| T3 '24 | $34.42M | -$2.5M |
| T4 '24 | $31.16M | -$2.37M |
| T1 '25 | $28.5M | -$3.87M |
| T2 '25 | $28.84M | -$2.63M |
| T3 '25 | $29.79M | -$1.4M |
| T4 '25 | $29.77M | -$1.33M |
| T1 '26 | $30.18M | -$1.18M |
| T2 '26 | $31.15M | -$0.27M |
GuruFocus valora la acción a 2,39 veces las ventas, frente a una mediana histórica de 1,4 veces, con una capitalización bursátil de 338 millones de dólares y un GF Value de 3,36 dólares frente a un precio de 7,21 dólares 7.
1,8 millones de acciones más y un relevo en el consejo
Los accionistas votarán incorporar 1,8 millones de títulos al plan de acciones de 2020, del que solo quedaban 80.032 acciones disponibles para nuevas adjudicaciones en la fecha de registro; la adición eleva el límite del plan hasta 8.949.047 acciones, frente a 46.879.400 en circulación 9.
En esa junta dejan el consejo su presidente, Hoshi Printer —consejero desde 2010 y al frente del comité de auditoría durante todo ese tiempo—, y el consejero Jim Auker; el candidato propuesto es Jason Lamb, un exoficial de los Navy SEAL que hoy dirige The LGL Group 8. La participación del 5,5 % que Strider Capital acaba de declarar no conlleva voto alguno y se acompaña de una certificación de carácter pasivo 10.
Ambos expedientes son ciertos a la vez: un ordenador de drones validado por la DCMA y otras tres líneas de productos parcheadas o a la espera de un CVE en cuatro meses. El re-rating solo se sostiene si esas más de 30 negociaciones se plasman en la previsión de la dirección para el ejercicio fiscal de 2027 antes de que la votación sobre la dilución y el historial de divulgaciones hagan el suyo.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
