Маршрутизаторы Netcore NR268 от компании Netis Systems содержат уязвимость в проверке подлинности пользователей. Устройство принимает запросы от тех, кто не проходил вход, и отдаёт им доступ к своим настройкам. Проблема внесена в Банк данных угроз безопасности информации под номером BDU:2026-16522, ей присвоен идентификатор CVE-2026-108907. Затронута прошивка версии 1.7.121109.
Уязвимость CVE-2026-108907 в маршрутизаторах Netcore NR268
Проблема касается функции проверки входа в CGI-интерфейсе прошивки. CGI - это слой, через который браузер обращается к веб-панели управления маршрутизатором. Логика проверки построена так, что при определённых условиях функция возвращает признак успешного входа, хотя учётные данные не предъявлены. Класс ошибки - неправильная аутентификация (CWE-287), тип - уязвимость архитектуры. Запрос продолжает обрабатываться после неудачной проверки, поэтому злоумышленник получает права администратора устройства.
Оценки по всем версиям CVSS близки к предельным: 10 по второй и третьей версиям, 9,3 по четвёртой. Банк данных угроз относит уязвимость к критическому уровню опасности. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Последствия затрагивают конфиденциальность, целостность и доступность информации: злоумышленник может читать настройки, менять их и нарушать работу устройства.
Метод эксплуатации уже описан публично - отчёт выложен на GitHub. Порог входа низкий, для попытки атаки достаточно сетевого доступа к маршрутизатору. Сведения о выпуске исправленной прошивки в BDU пока не указаны, способ устранения помечен как уточняемый.
Права администратора на маршрутизаторе - это контроль над всем трафиком, который через него проходит. Устройство управляет списками подключённых клиентов, параметрами подключения к провайдеру и правилами перенаправления запросов. Поэтому ошибка в проверке входа превращает пограничное устройство в удобную точку опоры для дальнейших действий внутри сети.
Как снизить риск до выхода исправления
До появления официальной прошивки защиту строят на ограничении доступа. Веб-панель маршрутизатора закрывают от внешних сетей, включая интернет, и не публикуют наружу. Межсетевой экран ограничит удалённые подключения к устройству, а сегментирование сети сузит круг тех, кто может до него дотянуться. Незащищённые протоколы вроде HTTP и Telnet лучше отключить. Парольная политика, принятая в организации, должна оставаться строгой.
Дополнительно помогают системы обнаружения и предотвращения вторжений: они регистрируют попытки эксплуатации и дают время на реакцию. Для удалённого управления подойдут виртуальные частные сети (VPN) вместо прямого доступа к панели устройства.
Netcore NR268 - маршрутизатор для домашних и небольших офисных сетей. Такие устройства стоят на границе сети и редко получают свежую прошивку. Сочетание открытого эксплойта и отсутствия исправления оставляет владельцам один практичный шаг: убрать устройство из зоны прямого сетевого доступа, пока вендор не закроет ошибку в проверке подлинности.
Ссылки
- https://bdu.fstec.ru/vul/2026-16522
- https://www.cve.org/CVERecord?id=CVE-2026-108907
- https://github.com/draw-ctf/report/blob/main/NR268/2026.09.14-netcore-nr268-boa-auth-fail-open.md
