Внедрение команд в D-Link DIR-868L позволяет удалённо получить права суперпользователя

Маршрутизатор D-Link DIR-868L с прошивкой 2.01b05 содержит уязвимость в обработчике HNAP (протокол управления домашними сетевыми устройствами). Она позволяет злоумышленнику, действующему по сети, выполнить на устройстве произвольный код с правами root, то есть с полным контролем над системой. Учётные данные для этого не требуются, участие пользователя тоже. Рабочий эксплойт опубликован в открытом доступе, а сведений о прошивке с исправлением в карточке уязвимости нет.

CVE-2026-110536 и внедрение команд в DIR-868L

Проблема сосредоточена в HNAP CGI Handler, компоненте, который связывает веб-интерфейс маршрутизатора с системными программами. Данные, приходящие извне, попадают в команду операционной системы без проверки и очистки. В описании указаны две связанные ошибки: отсутствие очистки данных на управляющем уровне и отсутствие нейтрализации специальных элементов, используемых в командах оболочки. Проще говоря, содержимое запроса к устройству превращается в системную команду. Это и есть внедрение команд.

Дальше сценарий простой по замыслу, хотя и требует подготовки. Злоумышленник собирает запрос с внедрённой командой и отправляет его на устройство. Маршрутизатор исполняет её от имени root, поскольку веб-интерфейс работает с максимальными привилегиями. В результате атакующий получает возможность запускать произвольный код, менять настройки, читать и удалять файлы, а также использовать устройство как точку опоры внутри сети.

Базовый вектор описывает атаку, которая проводится из сети, не требует аутентификации и не зависит от действий пользователя. Область действия изменена, то есть последствия выходят за пределы уязвимого компонента. Оценки по разным версиям методики близки к пределу: CVSS 3.1 - 10, CVSS 2.0 - 10, CVSS 4.0 - 9,3. Банк данных угроз безопасности информации относит уязвимость к критическому уровню опасности.

Информация об уязвимости внесена в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-16620, дата выявления - 28 сентября 2026 года. Идентификатор CVE-2026-110536 присвоен в общей системе. Ссылки в карточке ведут на два ресурса с доказательством концепции: репозиторий с рабочим кодом и сопроводительное описание от автора находки. Публикация эксплойта меняет расклад. Пока детали эксплуатации держат при себе, атака требует квалификации. Когда готовый код лежит в открытом доступе, порог входа падает до умения запустить чужой скрипт.

Для домашних и офисных маршрутизаторов это чувствительная категория риска. Устройство включено постоянно, стоит на границе сети и часто остаётся без обновлений годами. Администраторы нередко открывают веб-интерфейс для удалённого управления, чтобы не ходить к роутеру физически. В таком случае атака проводится напрямую из интернета. Отсутствие требования аутентификации означает, что пароль на вход в панель управления не защищает от эксплуатации.

Отдельно стоит сказать про статус исправления. В карточке и способ устранения, и информация об устранении помечены как "данные уточняются". Иными словами, официальной прошивки, которая закрывает ошибку, на момент публикации не указано. Владельцам DIR-868L приходится опираться на компенсирующие меры, а не на обновление.

Набор таких мер в BDU описан подробно. Первый шаг - ограничить доступ к устройству из внешних сетей, в том числе через межсетевой экран. Второй - отключить или сузить функцию удалённого управления, включая отказ от незащищённых протоколов вроде HTTP и Telnet. Полезно проверить парольную политику, принятую для доступа к устройству. Третий шаг - разделить сеть так, чтобы уязвимый маршрутизатор не имел свободного доступа к критичным узлам. Для обнаружения попыток эксплуатации применяют системы обнаружения и предотвращения вторжений. Удалённое администрирование лучше вести через виртуальную частную сеть, а не через открытый веб-интерфейс.

Практический вывод для владельца прост: если DIR-868L используется как основной шлюз, а веб-интерфейс смотрит в интернет, риск близок к максимальному. Закрытие панели управления от внешнего доступа снимает большую часть угрозы, даже когда патча нет. Тем, кто может заменить устройство на модель с поддерживаемой прошивкой, стоит рассмотреть такую замену.

История с DIR-868L показывает типичную картину для потребительского сетевого оборудования. Ошибка уровня критического риска обнаруживается в компоненте, который годами работает с правами root, эксплойт публикуется раньше исправления, а пользователю остаются сетевые ограничения. Сама уязвимость технически несложна, но её последствия для сети за устройством могут быть серьёзными.