Критическая дыра в роутерах Asus позволяет выполнять произвольные команды — компания выпустила важные исправления
- Asus выпустила обновления для двух уязвимостей: CVE-2026-14157 (9,4/10) позволяет выполнять команды через импорт VPN-конфигураций.
- CVE-2026-13313 (8,9/10) связана с отладочным кодом и позволяет активировать Telnet и потенциально выполнять команды с правами root.
- Уязвимости затрагивают сборки 3.0.0.6_102, 3.0.0.4_386 и 3.0.0.4_388; Asus рекомендует установить актуальную прошивку.
Почему это важно: Получив права root, злоумышленник может установить полный контроль над маршрутизатором и использовать его для атак на устройства локальной сети.
Asus выпустила обновления безопасности для маршрутизаторов после обнаружения двух серьезных уязвимостей. Одна из них при определенных условиях позволяет выполнять на устройстве произвольные команды, а вторая может предоставить злоумышленнику права root и полный контроль над маршрутизатором.
Наиболее опасная проблема получила идентификатор CVE-2026–14157 и оценку 9,4 балла из 10 по шкале CVSS 4.0. Она связана с функцией импорта конфигурационных файлов VPN-клиента через веб-интерфейс роутера.
Специально подготовленный файл может содержать данные, которые устройство интерпретирует как команды, а не как обычные параметры конфигурации. Если такой файл загрузит пользователь или злоумышленник, уже получивший доступ к панели управления, он потенциально сможет добиться выполнения произвольного кода на маршрутизаторе.
Уязвимость относится именно к импорту VPN-профилей непосредственно через интерфейс роутера. Использование обычных VPN-приложений на компьютере или смартфоне само по себе описанного риска не создает.
Вторая проблема, CVE-2026–13313, получила оценку 8,9 балла. Она связана с отладочным кодом, который остался в прошивке. Уязвимость позволяет обойти защитные проверки, активировать Telnet и потенциально выполнять команды с правами root.
Получив такие привилегии, злоумышленник может установить полный контроль над маршрутизатором и использовать его для дальнейших атак на устройства в локальной сети.
По данным Asus, первая уязвимость затрагивает ряд прошивок с номером сборки 3.0.0.6_102. Проблема с Telnet также присутствует в версиях 3.0.0.4_386 и 3.0.0.4_388.
Компания рекомендует владельцам совместимых маршрутизаторов как можно скорее установить актуальную прошивку. VPN-конфигурации следует загружать только из надежных источников.
Asus также советует использовать для административной панели уникальный пароль длиной не менее 10 символов с буквами разного регистра, цифрами и специальными символами. Кроме того, не стоит запускать на устройствах домашней сети неизвестные скрипты и команды.
Отдельное внимание необходимо обратить на маршрутизаторы, для которых производитель уже прекратил выпуск обновлений. Такие модели не получат исправлений, поэтому надежный уникальный пароль поможет снизить часть рисков, но не устранит сами уязвимости.
© iXBT
