Маршрутизатор TRENDnet TEW-432BRP с микропрограммой версии 3.10B20 содержит уязвимость CVE-2026-109157. Сбой происходит в обработчике сетевых настроек веб-интерфейса, куда вводят имя. Строка попадает в буфер стека без проверки длины, и избыток символов затирает соседние области памяти. Итог - отказ в обслуживании: маршрутизатор перестаёт отвечать на запросы. Исправленной прошивки нет, а рабочий эксплойт уже выложен в открытый доступ.
Уязвимость CVE-2026-109157 в маршрутизаторе TRENDnet TEW-432BRP
Банк данных угроз безопасности информации (BDU) относит проблему к ошибкам работы с памятью (CWE-119) и уточняет, что переполнение происходит именно в стеке (CWE-121). Атака идёт по сети, но требует учётных данных с низкими привилегиями: векторы CVSS указывают на авторизованного пользователя. Проще говоря, злоумышленнику нужно сначала попасть в панель управления хотя бы под гостевой учётной записью. Дальше хватает одного запроса с чрезмерно длинным значением параметра, чтобы повредить стек.
Оценки опасности в источнике расходятся по методикам. CVSS 2.0 даёт 9,0 балла и высокий уровень, CVSS 4.0 - 8,6 и тоже высокий, а CVSS 3.1 - 9,9 и критический. Причина в формулировке последствий. Описание BDU говорит только об отказе в обслуживании, тогда как вектор CVSS 3.1 заявляет высокое влияние на конфиденциальность, целостность и доступность с изменением области действия. Высокие баллы по конфиденциальности и целостности означают, что вендор допускает более широкие последствия, чем зависание устройства. Планировать защиту разумно исходя из этого варианта.
Затронута конкретная сборка микропрограммы - 3.10B20. Сведения о других версиях и аппаратных платформах в источнике отсутствуют. Эксплойт опубликован на GitHub вместе с техническим описанием, способ эксплуатации в BDU обозначен как манипулирование структурами данных. Дата выявления - 15 октября 2026 года.
Публичный эксплойт упрощает атаку. Пока исправления нет, любой, кто дотянется до панели управления, проверит устройство на уязвимость без глубокой подготовки. Часть таких маршрутизаторов работает в сетях без выделенного администратора, поэтому обновление и наблюдение за ними остаются заботой владельца.
Патча нет. Статус уязвимости и информация об устранении в BDU помечены как "данные уточняются", так что назвать дату выхода безопасной прошивки нельзя. Компенсирующие меры перечислены, и они рассчитаны на настройку инфраструктуры вокруг устройства.
Пока прошивки нет, защищаться приходится конфигурацией. Межсетевой экран и правила фильтрации закрывают доступ к панели управления из интернета; удалённое администрирование отключают или переносят в виртуальную частную сеть; HTTP и Telnet на устройстве не используют; пароли меняют с учётом принятой в организации политики. Сегментирование сети ограничивает доступ к уязвимому маршрутизатору изнутри периметра. Системы обнаружения и предотвращения вторжений помогают заметить попытки эксплуатации и отреагировать на них.
Случай с TEW-432BRP показывает, как выглядит уязвимость в сетевом оборудовании, которое годами работает без присмотра. Уязвимость высокой степени опасности, готовый эксплойт и отсутствие патча складываются в простую картину: устройство надёжно защищено только до тех пор, пока его панель управления недоступна снаружи. Для владельцев это означает одно - проверить, куда смотрит веб-интерфейс маршрутизатора, и закрыть его раньше, чем это сделает кто-то другой.
Ссылки
- https://bdu.fstec.ru/vul/2026-16614
- https://www.cve.org/CVERecord?id=CVE-2026-109157
- https://github.com/wudipjq/my_vuln/blob/main/TRENDnet/vuln_21/21.md
