В прошивке беспроводного маршрутизатора D-Link DIR-505 версии 1.10B02 остаются недокументированные команды конфигурации. Они спрятаны в служебном сценарии secmark1524.cgi, который принимает запросы веб-панели управления. Обращение к ним даёт злоумышленнику возможность выполнить на устройстве произвольный код. Ни учётные данные, ни действия пользователя не требуются. Оценка по CVSS 3.1 достигает 9,8 из 10, Банк данных угроз безопасности информации (BDU) относит уязвимость к критическому уровню опасности. Исправления нет.
Уязвимость CVE-2026-118579 в веб-интерфейсе D-Link DIR-505
Категория ошибки - скрытые функции (CWE-912). Уязвимости этого класса появляются, когда в коде остаётся служебный или отладочный функционал, о котором молчит документация. Веб-панель DIR-505 обрабатывает запросы через общий интерфейс CGI (механизм запуска программ по запросу из браузера). Сценарий secmark1524.cgi принимает команды, которых нет в штатном наборе настроек, и не проверяет полномочия обращающегося.
Для эксплуатации хватает сетевого доступа к панели. Атакующему не нужен пароль, не нужен вход в систему, не нужен переход по ссылке. Вектор сетевой, сложность низкая - так проблему описывают метрики CVSS. Успешное обращение к скрытым командам открывает контроль над конфигурацией: чтение и изменение настроек, запуск собственного кода. По CVSS 2.0 уязвимость получает максимум, 10 баллов; по CVSS 4.0 оценка ниже - 8,9, но всё равно попадает в высокий уровень.
Эксплойт опубликован, обновления прошивки нет
Демонстрационный эксплойт лежит в открытом репозитории на GitHub. Публикация снижает порог входа, потому что проверить устройство теперь может любой человек с доступом к его веб-интерфейсу. Закрыть проблему патчем пока нельзя. В базе BDU раздел о способе устранения заполнен пометкой "данные уточняются". Дата выявления - 12 октября 2026 года, идентификатор CVE-2026-118579. В перечне уязвимого ПО указана одна версия прошивки, 1.10B02.
Как снизить риск без исправления
Сократить поверхность атаки помогают сетевые и организационные меры. Веб-панель маршрутизатора не должна смотреть в интернет: доступ к ней ограничивают локальной сетью или VPN. Незащищённые протоколы управления, включая HTTP и Telnet, лучше отключить. Межсетевой экран и сегментирование сети не дадут уязвимому устройству стать точкой входа в остальную инфраструктуру. Средства обнаружения и предотвращения вторжений (IDS/IPS) помогают заметить попытки эксплуатации. Парольная политика закрывает смежные риски, хотя сама уязвимость от пароля не зависит.
Основная зона риска - небольшие офисы и домашние сети, где маршрутизатор работает годами и редко получает обновления. Если веб-панель открыта наружу, устройство становится удобной целью. Проверить доступность панели можно с внешнего адреса; при положительном ответе такой доступ стоит закрыть. Сведений об эксплуатации в реальных атаках BDU не приводит, но публичный демонстрационный код меняет расклад.
Служебный код живёт в прошивке встраиваемых устройств годами, потому что его почти никто не проверяет. Публикация демонстрационного эксплойта делает скрытую функцию пригодной для атаки. Пока вендор не назвал сроки исправления, безопасность DIR-505 определяют настройки сети вокруг него.
Ссылки
- https://bdu.fstec.ru/vul/2026-17943
- https://www.cve.org/CVERecord?id=CVE-2026-118579
- https://github.com/Walnut1337/DIR-505_backdoor/tree/main/poc
