CVE-2026-82693
CVSS 10 CRITICAL: a vulnerability was determined in Tenda AC1206 15.03.06.23. EPSS 1% (72º percentile).
Vulnerabilità · 57 giorni fa
CSIRT Italia / ACN segnala PoC pubblici per 3 vulnerabilità critiche nei router Tenda AC1206 e AC18. Il punto centrale non è la CVE in sé, ma lo stato di fabbrica: se la password web-admin non è stata ancora impostata, il dispositivo è già esposto.
Due flaw, CVE-2026-82693 e CVE-2026-82695, permettono di abilitare Telnet dalla Web UI senza autenticazione. La CVE-2026-82694 consente inoltre azioni amministrative come reboot, factory reset e modifica della configurazione. In pratica, l’interfaccia di gestione tratta quel setup iniziale come una fiducia speciale, e un outsider può sfruttarla per entrare in una superficie di amministrazione molto più rischiosa del pannello web.
Per chi gestisce questi modelli, la storia non riguarda solo il bug corretto dal vendor. Ogni unità lasciata senza password admin resta un foothold raggiungibile da remoto finché non viene chiusa quella condizione di default.
CVSS 10 CRITICAL: a vulnerability was determined in Tenda AC1206 15.03.06.23. EPSS 1% (72º percentile).
CVSS 10 CRITICAL: a vulnerability was identified in Tenda AC1206 15.03.06.23. EPSS 1% (72º percentile).
CVSS 10 CRITICAL: a security flaw has been discovered in Tenda AC18 15.03.05.19. EPSS 1% (71º percentile).
1 fonte che coprono questa storia
Tenda: PoC pubblici per 3 nuove vulnerabilità
Disponibili Proof of Concept (PoC) per lo sfruttamento di 3 nuove vulnerabilità con gravità "critica", che interessano i router Tenda AC1206 e AC18.
Part of the PlainSec briefing for 2026-09-01