Bezpečnostné upozornenie spoločnosti Zyxel týkajúce sa zraniteľností umožňujúcich vstrekovanie príkazov v niektorých zariadeniach CPE pre 4G LTE/5G NR, zariadeniach CPE pre DSL/Ethernet, optických termináloch (ONT) a bezdrôtových extenderoch

CVE: CVE-2026-0711, CVE-2026-1460

Zhrnutie

Spoločnosť Zyxel vydala opravy pre konkrétne verzie firmvéru svojich zariadení 4G LTE/5G NR CPE, DSL/Ethernet, CPE Fiber ONT a bezdrôtových extenderov. Tieto aktualizácie riešia zraniteľnosti súvisiace s vstrekovaním príkazov. Používateľom dôrazne odporúčame nainštalovať tieto opravy, aby bola zabezpečená optimálna ochrana.

Aké sú tieto zraniteľnosti?

CVE-2026-0711

Zraniteľnosť v podobe vloženia príkazu po overení v rozhraniach API súvisiacich s EasyMesh v určitých verziách firmvéruzariadení 4G LTE/5G NR CPE, DSL/Ethernet, CPE Fiber ONT a bezdrôtových extenderov by mohla umožniť overenému útočníkovi v susedstve s oprávneniami správcu vykonávať príkazy operačného systému na postihnutom zariadení. Je dôležité poznamenať, že prístup k WAN je na týchto zariadeniach štandardne deaktivovaný a tento útok môže uspieť len v prípade, ak boli kompromitované heslá nakonfigurované používateľom.

CVE-2026-1460

Zraniteľnosť v podobe vloženia príkazu po overení v parametri „DomainName“ konfiguračného súboru DHCP v určitých verziách firmvéru zariadení 4G LTE/5G NR CPE, DSL/Ethernet, CPE Fiber ONT a bezdrôtových extenderov by mohla umožniť overenému útočníkovi s oprávneniami správcu spúšťať príkazy operačného systému na postihnutom zariadení. Je dôležité poznamenať, že prístup k WAN je na týchto zariadeniach štandardne deaktivovaný a tento útok môže uspieť len v prípade, ak boli kompromitované heslá nakonfigurované používateľom.

Ktoré verzie sú zraniteľné – a čo by ste mali urobiť?

Po dôkladnom vyšetrovaní sme identifikovali zraniteľné produkty, ktoré sa nachádzajú v období podpory zraniteľností, a vydali sme aktualizácie na odstránenie týchto zraniteľností, ako je uvedené v tabuľkách nižšie. Upozorňujeme, že tabuľky neobsahujú prispôsobené modely navrhnuté špeciálne pre zákazníkov ISP. Žiadny produkt na trhu, ktorý nie je uvedený v tabuľke, nie je ovplyvnený.

Tabuľka 1. Modely ovplyvnenéCVE-2026-0711

* Ak chcete získať tento súbor, kontaktujte svojho obchodného zástupcu spoločnosti Zyxel alebo tím technickej podpory.

Tabuľka 2. Modely ovplyvnené CVE-2026-1460

* Ak chcete získať tento súbor, kontaktujte svojho obchodného zástupcu spoločnosti Zyxel alebo tím technickej podpory.

Poskytovatelia internetových služieb (ISP) sa môžu obrátiť na obchodných alebo servisných zástupcov spoločnosti Zyxel, kde získajú ďalšie informácie.

Koncovým používateľom, ktorí si zariadenie Zyxel zakúpili od poskytovateľa internetových služieb, odporúčame obrátiť sa priamo na tím podpory poskytovateľa, pretože zariadenie môže mať vlastné nastavenia.

Koncoví používatelia, ktorí si zariadenie Zyxel zakúpili sami, by sa mali obrátiť na miestny tím podpory spoločnosti Zyxel a požiadať o nový súbor firmvéru, aby bola zabezpečená optimálna ochrana, alebo navštíviťkomunitu Zyxel , kde získajú ďalšiu pomoc.

Máte otázku?

Pre ďalšie informácie alebo pomockontaktujte miestneho servisného zástupcu alebo navštívte komunituZyxel na adrese .

Poďakovanie

Ďakujeme nasledujúcim bezpečnostným výskumníkom:

• Joni Gadd za CVE-2026-0711
• Watchful IP za CVE-2026-1460

História revízií

28. 4. 2026: Prvé vydanie