WatchGuard AP 3.4.8 закрывает три уязвимости, включая внедрение команд без аутентификации

WatchGuard исправила три уязвимости в прошивке своих точек доступа. Две из них получили оценку 9.3 по шкале CVSS, которую применяют для сравнения серьёзности проблем безопасности, и позволяют злоумышленнику без учётных данных выполнить произвольные команды в операционной системе устройства. Третья, с оценкой 8.6, требует прав администратора. Проблемы затрагивают все прошивки с 1.0 по 3.4.7, исправления вошли в версию 3.4.8. Сведения опубликовали 28 сентября 2026 года. Случаев эксплуатации в реальных атаках и публичных эксплойтов, то есть готового вредоносного кода под эти уязвимости, производитель не подтверждает.

Детали уязвимостей

Основная угроза связана с внедрением команд в служебном сервисе внутреннего управления точкой доступа (CVE-2026-86102). Злоумышленник, у которого есть сетевой доступ к устройству, передаёт специально подготовленные данные. Операционная система точки доступа выполняет произвольные команды в ответ. Ни вход в систему, ни действия пользователя для этого не нужны. Опаснее всего это для точек доступа, чьи управляющие сервисы видны из гостевых сетей и из инфраструктуры удалённого доступа. Плоские внутренние сети и сегменты беспроводной связи без должного разделения тоже попадают в зону риска.

Вторая уязвимость (CVE-2026-101891) - нарушение контроля доступа во внутреннем сервисе API, то есть программном интерфейсе. Здесь атакующий тоже не проходит проверку подлинности, зато получает действующую сессию API. Дальше ему открываются функции, которые должны быть доступны только администраторам. В описании обе проблемы указаны отдельно, однако обе живут в служебных сервисах управления. Поэтому риск для открытых установок растёт. Про механику второй проблемы производитель сообщает коротко: доступ по сети, низкая сложность атаки, права не нужны, участие пользователя не требуется. Такое сочетание обычно означает, что для срабатывания хватает одного сетевого запроса. Отсюда и оценка 9.3.

Сочетание двух проблем в служебных сервисах повышает ставки. Сначала атакующий получает сессию API, затем через неё добирается до функций управления. Уже оттуда он пытается выполнить команды в операционной системе устройства. Каждый шаг по отдельности выглядит скромнее, вместе они дают полный контроль над точкой доступа. Получив сессию, злоумышленник может менять настройки устройства и закрепляться в системе. К тому же он собирает сведения о внутренней сети и использует точку доступа как плацдарм для дальнейших атак. Обе уязвимости с оценкой 9.3 не требуют ни прав, ни участия пользователя, а срабатывают по сети. Порог входа для атакующего получается низким.

Третья уязвимость работает иначе. Внедрение команд в диагностическом интерфейсе командной строки доступно только администратору. Вредоносный администратор или злоумышленник с украденными правами может ввести подготовленные данные и выполнить команды в операционной системе точки доступа. Оценка 8.6 отражает это ограничение. Производитель отнёс первые две проблемы к уровню Critical, а третью - к уровню High по собственной классификации. Успешное срабатывание третьей уязвимости всё равно означает контроль над устройством, просто требует предварительного доступа.

Публичных эксплойтов для этих уязвимостей пока нет, и атак с их использованием производитель не зафиксировал. Отсутствие готового инструмента не снижает риска. Уязвимость, доступная по сети и не требующая аутентификации, обычно становится целью быстро. Точки доступа часто стоят на периферии корпоративной сети. Их служебные интерфейсы нередко видны из гостевого Wi-Fi или из сети подрядчика. Плоское адресное пространство внутри компании упрощает задачу, и от точки доступа атакующий переходит к другим узлам. Диапазон затронутых версий начинается с 1.0, а значит, речь идёт о большом парке устройств, которые обновляли годами и не всегда равномерно.

Затронутым организациям стоит пересчитать свои точки доступа и обновить каждое устройство до версии 3.4.8 или выше. Пока обновление не разошлось по всем площадкам, доступ к API и к интерфейсам управления лучше ограничить доверенными административными узлами. Управляющие интерфейсы стоит вынести в отдельный виртуальный сегмент сети (VLAN) и закрыть к ним доступ из гостевых, недоверенных беспроводных и удалённых сетей. Настройки фильтрации уменьшают поверхность атаки, но не заменяют исправленную прошивку. Отдельного обходного пути для этих уязвимостей производитель не предлагает.

Отдельного внимания заслуживает порядок работ. В первую очередь обновляют точки доступа, чьи управляющие сервисы открыты за пределы доверенного сегмента: в филиалах, гостиницах, учебных заведениях и на площадках с гостевым доступом в интернет. Для остальных устройств разумно сначала закрыть доступ к управлению, а уже потом планировать обновление. Такой порядок сокращает окно, в котором уязвимость остаётся достижимой для постороннего.

Три уязвимости в одной прошивке - не редкость для сетевого оборудования. Служебные сервисы управления годами остаются удобной точкой входа, потому что работают постоянно, обмениваются данными с другими компонентами инфраструктуры и редко получают должную изоляцию. Сетевые устройства почти всегда включены, и это делает их привлекательной целью для закрепления внутри периметра. WatchGuard закрыла эти проблемы до появления атак, и это даёт администраторам возможность обновить парк точек доступа без спешки. Если управление точками доступа открыто из клиентских сетей, обновление стоит поставить в первый приоритет.

Детали уязвимостей

Ссылки