- Son 7 gün
- CWE-77
- CWE-78
CVE-2026-120276
WAVLINK WN536AX6-A web yönetim arayüzünde işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Kullandığınız ağ cihazında kimlik doğrulaması gerektirmeden uzaktan tam kontrol ele geçirilebilecek kritik bir güvenlik açığı bulunmaktadır. Saldırı kodu herkese açık olduğundan istismar kısa sürede yaygınlaşabilir. Bu nedenle cihazların hemen korunması ve güncellemelerin takip edilmesi önceliklidir.
ÖzetTürkçe
WAVLINK WN536AX6-A yönlendiricisinin V260507_2.0.0 sürümünde, web yönetim arayüzündeki /bin/ioos dosyasının sub_416760 fonksiyonu, group_name parametresini doğrulamadan işlemektedir. Bu nedenle saldırgan, parametreye zararlı komutlar ekleyerek cihazın işletim sisteminde komut çalıştırabilir. Açık uzaktan istismar edilebilir ve kamuya açık bir istismar kodu yayımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan uzaktan cihaz üzerinde komut çalıştırabilir; bu da cihazın tamamen ele geçirilmesi, yapılandırmanın değiştirilmesi ve ağdaki diğer sistemlere sızma riski anlamına gelir.
Kaynaktaki açıklama (İngilizce)
A weakness has been identified in WAVLINK WN536AX6-A V260507_2.0.0. This vulnerability affects the function sub_416760 of the file /bin/ioos of the component Web Management Interface. This manipulation of the argument group_name causes os command injection. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure.
Ne yapmalı?
- Üretici tarafından bu sürüm için bildirilmiş bir düzeltme bulunmadığı için, kullandığınız cihazın yazılımını üreticinin web sitesinden ve destek kanallarından düzenli olarak kontrol edin ve güvenlik düzeltmesi yayımlandığında hemen uygulayın. Genel öneri
- Cihaznın web yönetim arayüzüne yalnızca güvenilen iç ağ adreslerinden erişime izin verin; arayüzü internete açık hiçbir şekilde bırakmayın. Genel öneri
- Yönetim arayüzü için varsayılan ve zayıf parolaları değiştirin ve uzaktan yönetim özelliğini, kullanılmıyorsa, tamamen kapatın. Genel öneri
- Cihazı, güvenlik duvarı kurallarıyla yönetim trafiğini diğer ağ segmentlerinden ayıran ayrı bir ağ bölümünde tutun. Genel öneri
Ek önlemler
- Cihazın alışılmadık giden bağlantılarını ve beklenmeyen yapılandırma değişikliklerini izleyin. Genel öneri
- Ağınızdaki WAVLINK WN536AX6-A cihazlarının envanterini çıkarın ve hangilerinin etkilenen sürümde olduğunu doğrulayın. Genel öneri
- Şüpheli bir durum tespit ederseniz cihazı yeniden başlatmadan önce adli inceleme için kayıtları saklayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WAVLINK WN536AX6-A | V260507_2.0.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-120276 Üçüncü taraf
- vuldb.com/submit/919502 Üçüncü taraf
- github.com/…36AX6-A_openvpn_cli_group_command_injection.md İstismar kodu ya da analiz
- vuldb.com/vuln/429620 Diğer
- vuldb.com/vuln/429620/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.