Krytyczna luka w urządzeniach TR i WR umożliwiająca wykonanie poleceń jako root (CVE-2026-38711)

Co wiadomo

W urządzeniach TR1200, TR3000, WR300, WR1200, WR1300, WR1500, WR3000, WR3600 oraz WR6500 wykryto krytyczną lukę typu command injection w interfejsie system.upgrade_check. Atakujący mogą wykorzystać tę podatność do wykonania dowolnych poleceń z uprawnieniami root poprzez specjalnie spreparowane dane wejściowe.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 9.8) umożliwia przejęcie pełnej kontroli nad urządzeniami sieciowymi, co może prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych oraz zakłóceń w działaniu infrastruktury IT. Operatorzy powinni pilnie zweryfikować obecność podatnych wersji i podjąć działania ograniczające ryzyko.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji oprogramowania urządzeń i wdrożenie dostępnych aktualizacji od producenta. W przypadku braku łatki należy ograniczyć ekspozycję urządzeń w sieci, monitorować logi pod kątem podejrzanej aktywności oraz priorytetyzować działania naprawcze. DataHouse oferuje wsparcie w zakresie weryfikacji wersji, zarządzania aktualizacjami oraz analizy logów bezpieczeństwa.

Źródła

• NVD
• Reference