CERT/CC segnala una backdoor amministrativa non documentata nel firmware dei router Tenda

Il CERT Coordination Center (CERT/CC) ha emesso un avviso relativo a un meccanismo di autenticazione nascosto presente in diverse versioni del firmware dei router Tenda. La vulnerabilità, identificata come CVE-2026-11405, può consentire a un attaccante di aggirare i normali controlli della password e accedere all’interfaccia di amministrazione web con privilegi completi.

Secondo il CERT/CC, il problema riguarda il componente server web /bin/httpd utilizzato dall’interfaccia di gestione dei router. Durante l’accesso, il codice tenta innanzitutto la verifica standard della password basata su MD5. Se il controllo fallisce, segue un secondo percorso che recupera un valore dalla configurazione del dispositivo, sys.rzadmin.password, e lo confronta direttamente con la password inserita dall’utente. Quando i valori corrispondono, alla sessione vengono concessi i privilegi di amministratore.

L’avviso rileva che il nome utente associato non viene convalidato in modo significativo; pertanto, è possibile utilizzare qualsiasi nome utente se la password corrisponde al valore nascosto. Il CERT/CC ha dichiarato che il meccanismo non è documentato e non compare nella normale interfaccia amministrativa, risultando quindi di fatto una backdoor occultata anziché una funzionalità standard.

Versioni del firmware identificate come interessate

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• US_AC10V1.0re_V15.03.06.46_multi_TDE01
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• US_AC6V2.0RTL_V15.03.06.51_multi_TDE01

Se sfruttata, la vulnerabilità potrebbe consentire a un attaccante di modificare le impostazioni del router, disattivare i controlli di sicurezza o riconfigurare completamente il dispositivo. Ciò potrebbe esporre le reti connesse all’intercettazione del traffico, a interruzioni del servizio o a compromissioni più estese.

La vulnerabilità è stata segnalata da un ricercatore anonimo e risulta ancora priva di patch al momento della pubblicazione. Nel frattempo, il CERT/CC raccomanda di limitare l’esposizione disabilitando l’amministrazione remota e modificando l’indirizzo IP LAN predefinito, così da ridurre la possibilità di rilevamento automatizzato e di attacchi opportunistici.