El Switch 2 cae: primer jailbreak por software vía SmileBASIC 4 y Codex

El Nintendo Switch 2 ya cuenta con su primera ruta pública de ejecución de código nativo sin abrir la carcasa ni recurrir a un modchip. El investigador de seguridad Sammy Hajhamid, conocido en la escena como pepsipu, publicó el 22 de octubre de 2026 ns2jb, una cadena de exploits puramente software que aprovecha SmileBASIC 4 —un intérprete de BASIC nacido en la Switch original y ejecutado en la nueva consola a través de la capa de compatibilidad— para escapar del sandbox de aplicación y alcanzar el nivel de los módulos del sistema. Es un jailbreak «tethered»: el estado modificado se pierde al apagar la máquina y el procedimiento debe repetirse tras cada reinicio.

• Punto de entrada inesperado: un desbordamiento de entero de 32 bits en el manejo de arrays de SmileBASIC 4, una app de unos 25 dólares en la eShop, abre la puerta a la corrupción controlada de memoria.
• Escalada vertical de privilegios: una cadena ROP llega hasta el módulo de sistema de archivos mediante un desbordamiento en Path::Normalize, algo que ningún exploit previo había logrado en la consola.
• Nintendo ya reaccionó: SmileBASIC 4 ha comenzado a desaparecer de la eShop, aunque las consolas que no actualicen el firmware 23.0.1 mantendrán la vulnerabilidad abierta.

Del overflow de enteros a la escalada vertical

El ataque se despliega en dos etapas, ambas apoyadas en fallos que el proceso de control de calidad de Nintendo nunca trató como una frontera de seguridad. La primera ocurre en el intérprete de SmileBASIC: un desbordamiento de entero de 32 bits que aparece al eliminar elementos de un array entrega al atacante un puntero controlado y, con él, capacidad de lectura y escritura sobre porciones de la memoria del sistema. Con esa base, Hajhamid encadena fragmentos de código ya cargados en memoria —la técnica conocida como return-oriented programming (ROP)— para ejecutar lógica propia sin inyectar instrucciones nuevas.

La segunda etapa es la que convierte un fallo de aplicación en una brecha de plataforma. La cadena ROP lanza una llamada IPC contra el módulo de sistema responsable del sistema de archivos y provoca un desbordamiento de búfer en la función Path::Normalize durante una operación GetEntryType. Como ese módulo se ejecuta por encima del sandbox de aplicación, el exploit obtiene ejecución de código con privilegios superiores y acceso a E/S mapeada en memoria.

El contraste técnico es el hallazgo más incómodo para la compañía. La Switch 2 protege su componente de navegador con ARM Pointer Authentication en el procesador Tegra T239, una característica de hardware que firma las direcciones de retorno y vuelve impráctico el ROP basado en web. Sin embargo, la capa de compatibilidad que ejecuta software de Switch 1 preserva el entorno de ejecución original, con sus supuestos de seguridad de otra generación. Un intérprete complejo y controlado por el usuario, corriendo dentro de ese shim, es un objetivo natural.

El acceso «nos permite ejecutar homebrew, hacer ingeniería inversa y modificar juegos de Switch 2, respaldar archivos de guardado y acceder a la mayoría de los periféricos de la consola mediante MMIO», según describió el propio investigador.

En la práctica, ns2jb habilita cuatro capacidades concretas: ejecutar software homebrew, lanzar código nativo, modificar juegos —incluida la inyección de personajes personalizados en Mario Kart World— y extraer copias de seguridad de las partidas. Los requisitos son específicos: SmileBASIC 4.4.9, firmware 23.0.1, Node.js 22 o superior en un equipo macOS o Linux conectado a la misma red local y más de 20 MiB libres en el guardado de la aplicación.

Codex, el copiloto del descubrimiento

El componente que más atención ha atraído es el uso de OpenAI Codex. Hajhamid construyó un arnés automatizado para que el modelo pudiera sondear el intérprete de SmileBASIC, enviando comandos por USB y leyendo los resultados a través de HDMI, con un dispositivo Bluetooth que reiniciaba la consola eléctricamente cuando hacía falta. Tras «un esfuerzo considerable de unas dos semanas», ese sistema localizó el desbordamiento de enteros. El trabajo posterior de conversión del fallo en una cadena funcional y de las modificaciones de Mario Kart World requirió mucho menos tiempo.

Nintendo retira SmileBASIC 4 del catálogo

La respuesta de la compañía ha sido la esperada: SmileBASIC 4 ha empezado a desaparecer de la eShop, lo que convierte a quienes ya lo descargaron en dueños de una pieza poco común. Nintendo no ha emitido comentarios públicos sobre el caso. La medida tampoco cierra la puerta: las consolas que no acepten futuras actualizaciones de firmware seguirán ejecutando el exploit, y la comunidad ya tiene motivos para evitar las actualizaciones.

No es la primera vez que esta aplicación abre una plataforma. En julio de 2016, Nintendo retiró SmileBASIC de la eShop tras detectar que sus versiones 3.2.1 a 3.3.1 servían para jailbreakear la Nintendo 3DS; la app solo regresó después de cerrar la vulnerabilidad, con la actualización de sistema 11.1.0-X en septiembre de ese año.

Qué implica para el futuro de la plataforma

ns2jb no es un custom firmware ni una liberación total: es un punto de partida, una demostración de que la superficie de ataque del Switch 2 incluye décadas de software heredado que Nintendo decidió seguir ejecutando. La lección trasciende a la consola. A medida que las herramientas de investigación asistidas por inteligencia artificial reducen el coste de auditar código antiguo, los entornos de compatibilidad hacia atrás se convierten en el eslabón débil de arquitecturas por lo demás endurecidas. Para los propietarios, el incentivo de congelar el firmware choca directamente con el modelo de seguridad de la compañía; para Nintendo, la prioridad ya no es solo parchear un fallo, sino revisar qué supuestos heredados sigue arrastrando su nueva generación.