В атаках активно используется новая уязвимость в устаревших DSL-маршрутизаторах D-Link.

[admin]

Злоумышленники используют недавно обнаруженную уязвимость внедрения команд, затрагивающую множество маршрутизаторов D-Link DSL, поддержка которых прекращена несколько лет назад.


Уязвимость теперь отслеживается как CVE-2026-0625 и затрагивает конечную точку dnscfg.cgi из-за некорректной проверки входных данных в библиотеке CGI. Неавторизованный злоумышленник может использовать это для выполнения удаленных команд через параметры конфигурации DNS.


Компания VulnCheck, специализирующаяся на анализе уязвимостей, сообщила о проблеме компании D-Link 15 декабря после того, как фонд Shadowserver Foundation обнаружил попытку эксплуатации уязвимости путем внедрения команд на одной из своих ловушек для злоумышленников.

Представители VulnCheck сообщили BleepingComputer, что обнаруженная Shadowserver методика, по всей видимости, не была публично задокументирована.


«Неавторизованный удаленный злоумышленник может внедрить и выполнить произвольные команды оболочки, что приведет к удаленному выполнению кода», — говорится в сообщении VulnCheck о безопасности .

В сотрудничестве с VulnCheck компания D-Link подтвердила, что уязвимость CVE-2026-0625 затрагивает следующие модели устройств и версии микропрограммного обеспечения:

• DSL-526B ≤ 2.01
• DSL-2640B ≤ 1.07
• DSL-2740R < 1.17
• DSL-2780B ≤ 1.01.14

Указанные выше устройства сняты с производства (EoL) ещё в 2020 году и не будут получать обновления прошивки для устранения уязвимости CVE-2026-0625. Поэтому производитель настоятельно рекомендует вывести из эксплуатации и заменить затронутые устройства на поддерживаемые модели.

«Как D-Link, так и VulnCheck сталкиваются со сложностями в точном определении всех затронутых моделей из-за различий в реализации микропрограммного обеспечения и поколениях продуктов», — поясняет D-Link .


«Текущий анализ показывает, что надежного метода определения номера модели, помимо прямой проверки прошивки, не существует. По этой причине в рамках расследования D-Link проводит проверку версий прошивки на устаревших и поддерживаемых платформах», — заявляет производитель.


В настоящее время неясно, кто использует эту уязвимость и против каких целей. Однако, по данным VulnCheck, большинство пользовательских маршрутизаторов разрешают доступ по локальной сети только к административным конечным точкам Common Gateway Interface (CGI), таким как dnscfg.cgi.


Использование уязвимости CVE-2026-0625 подразумевает атаку через браузер или на целевое устройство, настроенное для удаленного администрирования.


Пользователям устаревших маршрутизаторов и сетевых устройств следует заменить их моделями, которые активно поддерживаются производителем, или развернуть их в некритичных сетях, предпочтительно сегментированных, используя последнюю доступную версию микропрограммы и ограничительные настройки безопасности.

Компания D-Link всё ещё пытается определить, затрагивает ли эта проблема другие продукты, анализируя различные версии прошивки.

Компания D-Link предупреждает пользователей о том, что устройства, снятые с производства, не получают обновлений прошивки, исправлений безопасности или какого-либо технического обслуживания.