Киберпрестъпни групи вече експлоатират наскоро идентифицирана command injection уязвимост, засягаща няколко модела D-Link DSL gateway рутери, които са извън жизнения си цикъл от години.

Уязвимостта е свързана с CGI endpoint-а dnscfg.cgi, където липсва коректна валидация на входните параметри. Това позволява на неавтентифициран атакуващ да инжектира и изпълнява произволни shell команди чрез DNS конфигурационни параметри, водещо до пълно отдалечено изпълнение на код.

Как е открита атаката

Компанията за анализ на уязвимости VulnCheck е уведомила D-Link на 15 декември, след като The Shadowserver Foundation е засекла активен опит за експлоатация в своя honeypot инфраструктура.

Според VulnCheck използваната техника не е била публично документирана до момента, което подсказва за целенасочена или ранна фаза на атаки.

„Неавтентифициран отдалечен атакуващ може да инжектира и изпълни произволни shell команди, което води до пълно компрометиране на устройството“, посочва VulnCheck в своя бюлетин.

Засегнати устройства

В сътрудничество между VulnCheck и D-Link са потвърдени следните модели и версии на фърмуер:

• DSL-526B ≤ 2.01

• DSL-2640B ≤ 1.07

• DSL-2740R < 1.17

• DSL-2780B ≤ 1.01.14

Всички изброени устройства са End-of-Life (EoL) от 2020 г. и няма да получат корекции за CVE-2026-0625.

Ограничения в анализа и риск от допълнителни засегнати модели

D-Link признава, че идентифицирането на всички потенциално уязвими продукти е затруднено поради:

• различия във фърмуерните реализации

• множество хардуерни ревизии

• липса на надежден механизъм за автоматично разпознаване на модели

Производителят заявява, че продължава анализа на стари и поддържани платформи чрез директна инспекция на фърмуерни изображения.

Как се експлоатира уязвимостта на практика

По данни на VulnCheck, в повечето потребителски мрежи CGI интерфейсите са достъпни само от локалната мрежа. Това означава, че успешната експлоатация предполага:

• браузър-базирана атака (CSRF или XSS в локалната мрежа), или

• устройство, конфигурирано с включено отдалечено администриране

Именно такива настройки често се срещат при стари рутери, използвани без актуална оценка на риска.

Реалните рискове за организациите

Компрометирането на гранично мрежово устройство като DSL рутер може да доведе до:

• пълен контрол над мрежовия трафик

• DNS манипулации и phishing атаки

• разпространение на зловреден код

• използване на устройството като част от ботнет

Особено уязвими са малки офиси, хотели, туристически обекти и отдалечени локации, където остарели устройства често остават в експлоатация с години.

Препоръки за защита

D-Link категорично предупреждава, че EoL устройствата:

• не получават фърмуерни обновления

• не получават защитни корекции

• не се поддържат по никакъв начин

Препоръчителни действия:

• незабавна подмяна с поддържани модели

• сегментиране на мрежата при временно използване

• изключване на отдалечено администриране

• ограничаване на достъпа до CGI интерфейси

CVE-2026-0625 е поредното напомняне, че остарелите мрежови устройства представляват реален и активен риск, а не просто технически дълг. Липсата на поддръжка превръща такива рутери в лесна входна точка за атаки, често без знанието на собствениците.

Подмяната на EoL оборудване не е разход, а инвестиция в устойчивостта и сигурността на мрежата.