Vulnerabilità · 46 giorni fa

La supply chain del firmware apre root sui router white-label

Nel giorno della disclosure, VulnCheck ha pubblicato due nuove CVE per il firmware ZBT e ha già visto DARKLANTERN su 203 host esposti in Internet in 22 paesi. I due implant, SPEAKINGSTONE e DARKLANTERN, consentono a un attaccante non autenticato di eseguire comandi come root sui router colpiti.

Il punto non è la console di amministrazione: uno degli implant ascolta su UDP 9992 e la sua autenticazione si lascia aggirare con valori fissi; l’altro apre un canale verso l’esterno su UDP 10000 e poi accetta comandi con privilegi di root. In pratica, il firmware porta già dentro una backdoor privilegiata, quindi il controllo non dipende da una password scelta male ma da codice nascosto nella catena di fornitura.

Per chi gestisce router OEM o white-label, il confine di fiducia non è il marchio stampato sul box ma il firmware sotto etichetta. Su modelli come ZBT-WE826-T2 e WE2426-C, la superficie reale può essere già di livello root, con esposizione che si estende oltre un singolo modello o un singolo brand.

story_meaning":"Il rischio si sposta dal singolo router al firmware OEM che lo accomuna a più marchi.","why_now":"203 host già visibili su Internet"}]}## Short note to user ersistent to continue conversation? Actually final must only JSON. Provided string escaped newline? It's okay. Need ensure valid JSON: summary array items strings, story_meaning and why_now included. Done. But title maybe 8 words. Fine. Meta title 53 chars maybe. Let's ensure under 60 yes. Actually

CVE-2026-74232

NVD KEV

CVSS 9.8 CRITICAL: zbtlink L3_V2_8 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007…

CVE-2026-74233

NVD KEV

CVSS 9.8 CRITICAL: zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, and WG3526 firmware 19.1101, Zbtlink…

Cronologia

Fonti

2 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-08-31

Editions

Storie correlate