- Son 7 gün
- CWE-77
- CWE-78
CVE-2026-121607
Qihoo 360 D603-2/D600-2/D606-6/D706 cihazlarında iscm testspeed_command işlevi OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, etkilenen ağ cihazlarının dışarıdan kimlik doğrulaması olmadan tamamen ele geçirilmesine olanak tanıyabilir. Açığın kullanımına yönelik kod herkese açık olduğundan saldırı riski yüksektir ve acil önlem gerektirir. Üretici de bildirime yanıt vermediği için resmi bir yama beklenmemelidir.
ÖzetTürkçe
Qihoo 360 D603-2, D600-2, D606-6 ve D706 modellerinin 6.4.9 sürümüne kadar olan sürümlerinde, /fs2/bin/iscm dosyasındaki testspeed_command işlevi OS komut enjeksiyonuna açıktır. Saldırgan host argümanını manipüle ederek cihazda sistem komutları çalıştırabilir. Saldırı uzaktan başlatılabilir ve açığın kullanımına ilişkin bir istismar kodu herkese açık hale gelmiştir.
Saldırgan ne yapabilir?
Kimlik doğrulaması gerektirmeden uzaktan gelen bir saldırgan, etkilenen cihaz üzerinde komut çalıştırarak cihazın tamamen ele geçirilmesine ve ağ trafiğinin izlenmesine veya yönlendirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was found in Qihoo 360 D603-2, D600-2, D606-6 and D706 up to 6.4.9. This affects the function testspeed_command of the file /fs2/bin/iscm. Performing a manipulation of the argument host results in os command injection. The attack may be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üreticiden resmi bir düzeltme yayımlanmadığı belirtilmiştir; etkilenen cihazların yazılımını üretici kanalları üzerinden düzenli olarak kontrol edin ve güncelleme çıktığında hemen uygulayın. Genel öneri
- Cihazların yönetim arayüzlerini internetten erişime kapatın ve yalnızca güvenilen iç ağ adreslerinden erişime izin verin. Genel öneri
- Mümkünse etkilenen cihazları, sürüm 6.4.9 ve öncesini kullanan cihazlar için ağdan ayırın veya daha güvenli bir cihazla değiştirin. Genel öneri
- Cihazlar üzerindeki varsayılan yönetici parolalarını değiştirin ve güçlü, benzersiz parolalar kullanın. Genel öneri
Ek önlemler
- Cihazlardan ve ağ geçidinden gelen olağandışı giden bağlantıları ve beklenmeyen süreç çalıştırmalarını izleyin. Genel öneri
- Cihazların yapılandırma ve dosya bütünlüğünü düzenli olarak denetleyin; şüpheli değişiklik tespit edilirse cihazı yeniden kurun. Genel öneri
- Bu cihazların internet üzerinde açık olup olmadığını dış tarama ile düzenli olarak kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Qihoo 360 D600-2 | 6.4.0 | – |
| 6.4.1 | – | |
| 6.4.2 | – | |
| 6.4.3 | – | |
| 6.4.4 | – | |
| 6.4.5 | – | |
| 6.4.6 | – | |
| 6.4.7 | – | |
| 6.4.8 | – | |
| 6.4.9 | – | |
| Qihoo 360 D603-2 | 6.4.0 | – |
| 6.4.1 | – |
ve 28 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-121607 Üçüncü taraf
- vuldb.com/submit/1023262 Üçüncü taraf
- gist.github.com/gajgdm6-cpu/e8ef7f512bebb987b0119562873afd5a İstismar kodu ya da analiz
- vuldb.com/vuln/430444 Diğer
- vuldb.com/vuln/430444/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.