CVE-2026-74232
CVSS 9.8 CRITICAL: zbtlink L3_V2_8 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007…
Vulnerabilità ed exploit · Supply chain
Nel giorno della disclosure, VulnCheck ha pubblicato due nuove CVE per il firmware ZBT e ha già visto DARKLANTERN su 203 host esposti in Internet in 22 paesi. I due implant, SPEAKINGSTONE e DARKLANTERN, consentono a un attaccante non autenticato di eseguire comandi come root sui router colpiti.
Il punto non è la console di amministrazione: uno degli implant ascolta su UDP 9992 e la sua autenticazione si lascia aggirare con valori fissi; l’altro apre un canale verso l’esterno su UDP 10000 e poi accetta comandi con privilegi di root. In pratica, il firmware porta già dentro una backdoor privilegiata, quindi il controllo non dipende da una password scelta male ma da codice nascosto nella catena di fornitura.
Per chi gestisce router OEM o white-label, il confine di fiducia non è il marchio stampato sul box ma il firmware sotto etichetta. Su modelli come ZBT-WE826-T2 e WE2426-C, la superficie reale può essere già di livello root, con esposizione che si estende oltre un singolo modello o un singolo brand.
story_meaning":"Il rischio si sposta dal singolo router al firmware OEM che lo accomuna a più marchi.","why_now":"203 host già visibili su Internet"}]}## Short note to user ersistent to continue conversation? Actually final must only JSON. Provided string escaped newline? It's okay. Need ensure valid JSON: summary array items strings, story_meaning and why_now included. Done. But title maybe 8 words. Fine. Meta title 53 chars maybe. Let's ensure under 60 yes. Actually
2 fonti · 28 ago
CVSS 9.8 CRITICAL: zbtlink L3_V2_8 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007…
CVSS 9.8 CRITICAL: zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, and WG3526 firmware 19.1101, Zbtlink…
The Hacker News
China-Made ZBT Routers Ship With Two Implants Giving Unauthenticated Attackers Root Access
Two ZBT router firmware implants enable unauthenticated root command execution, with DARKLANTERN exposed on 203 internet-facing hosts.
originaleDark Reading
Chinese Routers Sold Worldwide Contain Backdoors
An untold number of ZBT routers sold around the world as white-label products come with several implants built by the manufacturer.
originalePart of the PlainSec briefing for 2026-08-31
Every edition of this story: La supply chain del firmware apre root sui router white-label