В Банке данных угроз (БДУ) появилась новая запись под номером BDU:2026-03418, описывающая критическую уязвимость в популярных маршрутизаторах Tenda AC8. Проблема, получившая идентификатор CVE-2026-4252, связана с ошибками аутентификации в функции обработки IPv6 и позволяет злоумышленнику удаленно выполнить произвольный код на устройстве. Уязвимость затрагивает микропрограммное обеспечение (прошивку) версии 16.03.50.11. Поскольку эксплойт для её эксплуатации уже опубликован в открытом доступе, угроза представляет высокий практический риск для пользователей.
Детали уязвимости
Суть уязвимости заключается в некорректной реализации функции "check_is_ipv6()". Анализ показывает, что в основе лежат два типа ошибок: неправильная аутентификация (CWE-287) и использование IP-адреса для аутентификации (CWE-291). Фактически, процедура проверки подлинности запросов к веб-интерфейсу устройства может быть обойдена. Следовательно, злоумышленник, действующий извне сети, способен отправить специально сформированный HTTP-запрос. В результате этот запрос может привести к выполнению произвольных команд на маршрутизаторе с максимальными привилегиями.
Оценка по методике CVSS подтверждает критический характер угрозы. Базовая оценка CVSS 2.0 достигает максимального значения 10.0. Более современная версия CVSS 3.1 присваивает уязвимости 9.8 баллов, что также соответствует критическому уровню. Новая CVSS 4.0 оценивает риск как высокий с баллом 8.9. Все оценки сходятся в том, что для атаки не требуются никакие привилегии (PR:N), взаимодействие с пользователем (UI:N) или специальные условия. Уязвимость легко эксплуатируется через сеть (AV:N/AC:L), а потенциальный ущерб (конфиденциальность, целостность и доступность системы) оценивается как полный.
Главная опасность заключается в том, что доказательство концепции уже размещено на платформе GitHub. Это значительно снижает порог входа для киберпреступников. Используя этот код, злоумышленники могут создавать автоматизированные инструменты для массовых атак. В частности, после получения контроля над маршрутизатором возможна установка вредоносного ПО, включая программы-вымогатели (ransomware). Кроме того, атакующие могут перенаправлять трафик пользователей на фишинговые сайты, внедрять механизмы сохранения доступа (persistence) для шпионажа или использовать устройство как точку входа для атак на другие узлы внутренней сети.
К сожалению, на текущий момент данные о способе устранения уязвимости и статусе разработки патча от производителя, компании Shenzhen Tenda Technology Co., Ltd., уточняются. Поэтому владельцам уязвимых маршрутизаторов AC8 с прошивкой версии 16.03.50.11 настоятельно рекомендуется немедленно применить компенсирующие меры.
Эксперты рекомендуют несколько ключевых действий. Прежде всего, необходимо ограничить доступ к веб-интерфейсу маршрутизатора из внешних сетей, особенно из интернета. Идеальным решением является его полная изоляция от глобальной сети. Также эффективным может быть использование VPN для безопасного удалённого администрирования. Кроме того, следует рассмотреть развёртывание межсетевого экрана уровня веб-приложений (WAF) для фильтрации подозрительного HTTP-трафика. Важным элементом защиты является сегментация сети, которая ограничит потенциальный ущерб в случае компрометации маршрутизатора. Наконец, системы обнаружения и предотвращения вторжений (IDS/IPS) могут помочь в выявлении попыток эксплуатации данной уязвимости.
Данный инцидент в очередной раз подчёркивает важность безопасности прошивок в устройствах интернета вещей (IoT) и сетевом оборудовании. Производителям необходимо тщательнее тестировать код, особенно функции, связанные с аутентификацией и сетевым стеком. Пользователям же следует регулярно проверять наличие обновлений и применять принцип минимальных привилегий при настройке доступа. Пока официальное исправление не выпущено, компенсирующие меры остаются единственным способом защиты от потенциальных атак, использующих уязвимость CVE-2026-4252 в маршрутизаторах Tenda AC8.
Ссылки
- https://bdu.fstec.ru/vul/2026-03418
- https://www.cve.org/CVERecord?id=CVE-2026-4252
- https://github.com/digitalandrew/tenda_ac8_v5/blob/main/poc_ipv6_auth_bypass.py
- https://vuldb.com/?submit.771759
