Versteckte Authentifizierungs-Backdoor in mehreren Tenda-Router-Firmwareversionen entdeckt

Sicherheitsforscher haben einen versteckten Authentifizierungsmechanismus in mehreren Tenda-Router-Firmwareversionen identifiziert, der es einem entfernten Angreifer ermöglichen könnte, mit Administratorrechten auf die Webverwaltungsoberfläche des Geräts zuzugreifen. Die Schwachstelle wird als CVE-2026-11405 geführt und ist laut CERT/CC weiterhin ungepatcht.

Laut CERT/CC liegt die Ursache in einem undokumentierten Codepfad der Routine login() innerhalb der Webserver-Binärdatei /bin/httpd des Routers. Unter normalen Bedingungen prüft die Firmware die Anmeldedaten über einen auf MD5 basierenden Anmeldeprozess. Schlägt diese Prüfung jedoch fehl, scheint das Gerät auf ein alternatives Passwort zurückzugreifen, das im Konfigurationswert sys.rzadmin.password gespeichert ist. Stimmt das eingegebene Passwort mit diesem Wert überein, gewährt der Router Administratorzugriff und eröffnet eine gültige Sitzung – selbst wenn der Benutzername falsch oder völlig beliebig ist.

Da dieser Mechanismus weder in der Produktdokumentation beschrieben noch in der Administrationsoberfläche sichtbar ist, hätten Nutzer keinen offensichtlichen Hinweis darauf, dass dieser sekundäre Anmeldeweg existiert. CERT/CC warnte, dass eine erfolgreiche Ausnutzung einem Angreifer die Kontrolle über die Routerkonfiguration, Netzwerkeinstellungen und Sicherheitsfunktionen geben würde. Diese Kontrolle könnte anschließend genutzt werden, um den Zugriff auf das lokale Netzwerk auszuweiten.

Betroffene Geräte

• Tenda FH1201 mit US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• Tenda W15E mit US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• Tenda AC10 mit US_AC10V1.0re_V15.03.06.46_multi_TDE01
• Tenda AC5 mit US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• Tenda AC6 V2 mit US_AC6V2.0RTL_V15.03.06.51_multi_T

Zum Zeitpunkt der Veröffentlichung ist kein Fix verfügbar. CERT/CC empfiehlt Besitzern, die webbasierte Fernverwaltung zu deaktivieren, um die Erreichbarkeit aus dem Internet zu verringern, und nach Möglichkeit die standardmäßige LAN-IP-Adresse zu ändern, damit eine automatisierte Erkennung durch Scanner weniger wahrscheinlich wird.

Die Schwachstelle wurde von einem anonymen Forscher gemeldet. Zwar gibt es bislang keine bestätigten Hinweise auf eine aktive Ausnutzung, doch Schwachstellen in Routern werden häufig von Botnetzen angegriffen, weshalb eine schnelle Ausnutzung realistisch ist.