Individuata una backdoor di autenticazione nascosta in diverse versioni del firmware dei router Tenda

I ricercatori di sicurezza hanno individuato un meccanismo di autenticazione nascosto in diverse build del firmware dei router Tenda che potrebbe consentire a un attaccante remoto di accedere all’interfaccia web di gestione del dispositivo con privilegi amministrativi. La vulnerabilità è tracciata come CVE-2026-11405 e, secondo CERT/CC, non è ancora stata corretta.

Secondo CERT/CC, il problema deriva da un percorso di codice non documentato nella routine login(), all’interno del binario del server web /bin/httpd del router. In condizioni normali, il firmware verifica le credenziali tramite un processo di accesso basato su MD5. Tuttavia, se il controllo fallisce, il dispositivo sembra ricorrere a una password alternativa memorizzata nel valore di configurazione sys.rzadmin.password. Se la password fornita corrisponde a quel valore, il router concede l’accesso amministrativo e apre una sessione valida, anche se il nome utente è errato o completamente arbitrario.

Poiché il meccanismo non è descritto nella documentazione del prodotto né esposto nell’interfaccia di amministrazione, gli utenti non avrebbero alcuna indicazione evidente dell’esistenza di questo percorso di accesso secondario. CERT/CC ha avvertito che lo sfruttamento riuscito consentirebbe a un attaccante di controllare la configurazione del router, le impostazioni di rete e le funzionalità di sicurezza, che potrebbero quindi essere utilizzate per estendere l’accesso all’interno della rete locale.

Dispositivi interessati

• Tenda FH1201 con US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• Tenda W15E con US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• Tenda AC10 con US_AC10V1.0re_V15.03.06.46_multi_TDE01
• Tenda AC5 con US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• Tenda AC6 V2 con US_AC6V2.0RTL_V15.03.06.51_multi_T

Al momento della pubblicazione non è disponibile alcuna correzione. CERT/CC consiglia ai proprietari di disabilitare la gestione web remota per ridurre l’esposizione a Internet e, ove possibile, modificare l’indirizzo IP LAN predefinito per rendere meno probabile il rilevamento automatico da parte degli scanner.

Il problema è stato segnalato da un ricercatore anonimo. Sebbene non vi siano ancora prove confermate di uno sfruttamento attivo, le vulnerabilità dei router sono frequentemente prese di mira dalle botnet, rendendo realistico il rischio di un rapido sfruttamento.