В прошивках роутеров ZBT нашли два компонента с root-доступом
Исследователи VulnCheck обнаружили в ряде прошивок ZBT сервисы SPEAKINGSTONE и DARKLANTERN. Они позволяют удалённо выполнять команды от имени root без аутентификации; для части устройств доступен входящий интерфейс из интернета.
Исследовательская компания VulnCheck сообщила о двух ранее не описанных компонентах в прошивках роутеров Shenzhen Zhibotong Electronics (ZBT). По данным исследователей, оба позволяют удалённому атакующему без учётных данных выполнять команды с правами root на затронутом устройстве.
Уязвимостям присвоены идентификаторы CVE-2026-74232 и CVE-2026-74233. VulnCheck оценила каждую в 9,3 балла по CVSS 4.0 и в 9,8 балла по CVSS 3.1. Для атак, согласно описанию, не требуются ни привилегии, ни действия пользователя.
Первый компонент, получивший название SPEAKINGSTONE, работает как служба yunmgrd и отправляет UDP-запросы на порт 10000 управляющего сервера, адрес которого задан в прошивке. Протокол поддерживает выполнение произвольных команд от root, передачу логина и пароля PPPoE-подключения, чтение и запись списка для подмены DNS, а также создание обратного SSH-туннеля. Исходящее соединение позволяет этой службе работать за NAT и при обычной фильтрации исходящего трафика.
DARKLANTERN, связанный с CVE-2026-74233, запущен как infosrvd и принимает запросы по UDP-порту 9992. Штатный межсетевой экран роутера открывает этот порт для подключений с любых интернет-адресов. VulnCheck называет реализованную в сервисе аутентификацию неэффективной: в ней используются жёстко заданная соль и нулевой MAC-адрес, обходящий проверку адреса.
С 18 по 21 августа исследователи обнаружили в интернете 203 узла с доступным DARKLANTERN в 22 странах. Это число означает устройства, ответившие на проверочный запрос, а не подтверждённо скомпрометированные роутеры. Узлы сообщили о 16 разных моделях.
Оба компонента нашли на роутере Deep Orange 3G/4G/LTE Router стоимостью 88 долларов, приобретённом у американского поставщика. Это устройство оказалось вариантом ZBT-WE826-T2 под другой маркой, а его прошивка была собрана в 2019 году. VulnCheck ранее, 5 августа, сообщала ещё об одном компоненте в роутерах ZBT — ENDLESSDOORS (CVE-2026-66747), который, по её данным, присутствовал как минимум в 20 моделях.
В перечнях для новых CVE фигурируют, в частности, Zbtlink WE1326, WE357, WE5926, WE826-Q, WE826-T2, WE826-WD, WG108 и WG3526, а также L3_V2_8, ZBT-7628 и ZBT-ZBT7621. Ориентироваться следует на номер модели, а не на бренд: ZBT продаёт одни и те же аппаратные платформы и прошивки реселлерам под другими марками. Кроме того, в рекомендациях VulnCheck перечисленные версии прошивок указаны как верхние границы, тогда как записи CVE называют конкретные сборки, а статус остальных версий оставляют неизвестным. Исправленные версии прошивок в опубликованных материалах не названы.
У SPEAKINGSTONE есть резервный домен управляющего сервера. VulnCheck зарегистрировала этот незанятый домен и запустила совместимый с протоколом сервер; после этого на него начали поступать обращения устройств. К 21 августа исследователи зафиксировали 392 уникальных роутера, 390 из которых находились в Китае. Большинство из них сообщило модель L3_V2_8 с прошивкой 3.0.0.4.528. В VulnCheck подчёркивают, что это лишь нижняя оценка: к резервному домену обращаются только устройства, для которых не настроен основной управляющий сервер.
VulnCheck включила CVE-2026-74233 в собственный каталог известных эксплуатируемых уязвимостей. В то же время каталог CISA Known Exploited Vulnerabilities по состоянию на 28 августа не содержал ни одной из трёх упомянутых уязвимостей ZBT; в данных CISA для CVE-2026-74233 отмечено наличие публичного proof-of-concept.