Напаѓачите го експлоатираат Zero-Day кај рутерите на D-Link кои се на крајот од својот животен век

Хакери напаѓаат критична zero-day ранливост кај неподдржани D-Link DSL рутери со цел извршување произволни команди. Напаѓачите активно ја експлоатираат оваа zero-day ранливост кај повеќе укинати D-Link DSL gateway уреди за да извршуваат произволни shell-команди на засегнатите производи.

Поголемиот дел од gateway уредите што се под напад се производи за кои D-Link престанал активно да обезбедува поддршка пред пет или повеќе години, поради што тие повеќе не добиваат firmware ажурирања, безбедносни закрпи или одржување. Организациите што сакаат да го намалат ризикот треба да ги повлечат засегнатите уреди и да ги заменат со модели што D-Link моментално ги поддржува, соопшти производителот во безбедносно известување објавено оваа недела.

Активна експлоатација од средината на декември?

D-Link соопшти дека за ранливоста, означена како CVE-2026-0625 (CVSS оценка: 9.3), дознал кога VulnCheck ја информирал компанијата на 16 декември 2025 година. Во тој момент, VulnCheck пријавил дека забележал „активна експлоатација на компромитирана CGI библиотека кај одредени D-Link уреди“ во продукциски средини.

D-Link веднаш започнал истрага за да ја утврди тековната и историската употреба на засегнатата CGI библиотека кај сите релевантни производи, соопшти тајванскиот производител на мрежна опрема. Сепак, целосниот обем на проблемот останува нејасен и повеќе од три недели по првичното откривање. И D-Link и VulnCheck сè уште немаат прецизно утврдено кои DSL gateway производи се засегнати, поради разликите во начинот на имплементација на CGI библиотеката кај различните модели.

D-Link спроведува детална анализа на firmware-ниво и кај старите и кај тековните платформи за да утврди кои производи се засегнати. Компанијата вети дека подоцна оваа недела ќе објави детална листа на конкретно засегнати модели и верзии на firmware. „VulnCheck го пријави овој проблем откако забележа активна експлоатација во реални средини. Тековната анализа покажува дека не постои сигурен метод за идентификација на моделот освен директна инспекција на firmware-от“, соопшти D-Link.

CVE-2026-0625 е ранливост за вметнување команди (command injection) во endpoint-от dnscfg.cgi, кој ги обработува поставките за DNS серверите. Таа настанува поради тоа што рутерот не ја валидира или не ја прочистува соодветно корисничката влезна информација пред обработката на DNS конфигурациските команди. Ова му овозможува на далечински напаѓач да вметне злонамерни команди, маскирани како легитимни DNS поставки, и да изврши произволен код на засегнатите уреди.

„Засегнатиот endpoint е поврзан и со неавтентификувана промена на DNS (‘DNSChanger’), однесување документирано од D-Link, кој пријави активни кампањи за експлоатација насочени кон firmware варијанти на моделите DSL-2740R, DSL-2640B, DSL-2780B и DSL-526B во периодот од 2016 до 2019 година“, соопшти VulnCheck.

Ризик од застарени технологии

Ранливостите за вметнување команди им овозможуваат на напаѓачите да извршуваат произволни команди на оперативниот систем на засегнатиот уред, што може да доведе до кражба на чувствителни податоци, движење кон други мрежни ресурси, воспоставување постојани backdoor-и или целосно компромитирање на мрежната безбедност. Бидејќи D-Link уредите најчесто се наоѓаат на мрежниот периметар и ја обработуваат интернет-конекцијата, успешната експлоатација може да им обезбеди на напаѓачите почетна точка за поширок мрежен упад.

Новата ранливост е само една од многуте со кои организациите што користат D-Link технологии се соочуваат во последниве години. Во многу случаи, напаѓачите ги таргетирале пропустите години по нивното првично објавување, често во периоди кога D-Link веќе престанал активно да ги поддржува производите.

Паралелно со тоа, Американската агенција за сајбербезбедност и безбедност на инфраструктурата (CISA) само во 2025 година додаде пет вакви D-Link ранливости во својот каталог на познати активно експлоатирани ранливости. Меѓу нив се CVE-2020-25079, ранливост за вметнување команди од 2020 година што ги засегнала уредите со завршен животен циклус (EoL) или завршена услуга (EoS); CVE-2022-40799, OS-ниво ранливост од 2022 година што ги погодила EoL и EoS уредите; и CVE-2024-0769, path traversal ранливост од 2024 година што исто така ги засегнала укинатите D-Link производи.

За организациите, овие пропусти го нагласуваат постојаниот безбедносен ризик што го носат софтверот и опремата со завршен животен циклус. Многу организации продолжуваат да користат застарени оперативни системи, софтвер и уреди долго по завршувањето на поддршката од производителот, често поради буџетски ограничувања, а понекогаш и затоа што технологиите сè уште функционираат како што е предвидено. Новата D-Link ранливост јасно покажува како одлуките да се остане на застарени производи можат подоцна сериозно да ги загрозат организациите и да предизвикаат значителни финансиски загуби.

Извори:

• DarkReading – Attackers Exploit Zero-Day in End-of-Life D-Link Routers DarkReading