Evlerde kullanılan iki modem modelinde en yüksek seviyede iki güvenlik açığı yayınlandı. Linksys E5350 ve 360 Whole Home Router M5 için hazırlanan kayıtlarda CVSS 3.1 puanı 10.0’a kadar çıkıyor. İki üründe de üreticiden düzeltme gelmedi; açıkları gösteren kavram kanıtı kodları ise herkese açık.
Linksys E5350’de boş parola yönetim panelini açıyor
CVE-2026-121933, Linksys E5350’nin 1.0.00.037 sürümünü etkiliyor. Bu sürüm modelin son yazılımı; ürün artık üretimde değil. Açık, kurulum sihirbazının /wizard/apply.cgi adresindeki save_settings işlevinde duruyor. Sihirbaz, yönetici parolası alanı boş bırakıldığında bunu kabul ediyor ve fabrika ayarındaki cihazda bu adım hiç kimlik doğrulaması istemiyor.
Sihirbaz bittikten sonra cihazın web sunucusu, “sihirbaz tamamlandı, oturum kapandı ve parola boş” durumunu koşulsuz geçiş sayıyor. Bunun sonucu ağır: yönetim arayüzünün tamamı, komut çalıştırılabilen tanılama sayfası dahil, parolasız kullanılabiliyor. Ev sahibi ise kurulumun normal bittiğini ve internetin çalıştığını görüyor.
Kayıtta zafiyet türü CWE-258 (yapılandırmada boş parola) ve CWE-306 (kritik işlevde kimlik doğrulama yok) olarak geçiyor. NVD’deki CVSS 3.1 puanı 10.0. Açığı bulan araştırmacı kendi hesabında yerel ağ üzerinden 8.8 öneriyor; yani komşu ağdan ya da ele geçirilmiş bir cihazdan erişim yeterli olabilir.
360 M5’in açılış betiğinde sabit root parolası
CVE-2026-121609, 360 Whole Home Router M5’in 4.0.17.1566 sürümünü kapsıyor. Araştırmacı, aynı açılış betiğinin M50 modelinde de bayt bayt aynı olduğunu belirtiyor.
/etc/init.d/mpt betiği cihaz her açıldığında çalışıyor ve telnet hizmetini sabit kodlanmış bir root parolasıyla başlatıyor. Araştırmacı, fabrika yazılımını öykünücüde çalıştırıp bu hesapla kabuk aldığı adımları yayınladı. Yani cihazın yönetimine girmek için bilinen bir açık, zayıf bir yapılandırma ya da kullanıcı hatası gerekmiyor; yalnızca cihaza ulaşabilmek yetiyor.
Zafiyet CWE-798 (sabit kodlanmış kimlik bilgileri) olarak sınıflandırıldı; kayıtta CWE-306 ve CWE-489 da geçiyor. CVSS 3.1 puanı 10.0, araştırmacının kendi değerlendirmesi yerel ağ üzerinden 8.7. Üreticiye bildirim yapıldığı, ancak yanıt gelmediği belirtiliyor.
Yama yok, önce erişimi kısın
İki kayıtta da üretici düzeltmesi bulunmuyor. VulDB, alternatif önlem bilgisi olmadığını ve etkilenen cihazın değiştirilmesinin önerildiğini yazıyor.
Linksys E5350 için yazılım desteği bittiği için yama beklemeyin. Cihazı kullanmaya devam edecekseniz kurulum sihirbazında yönetici parolasını asla boş bırakmayın; mevcut kurulumda parolanın gerçekten kayıtlı olduğunu yönetim panelinden kontrol edin. Uzaktan yönetimi kapatın, modemi mümkünse ikinci bir yönlendiricinin arkasına alın ve yönetim arayüzünü yalnızca kabloyla bağlı bir bilgisayardan açın.
360 M5 ve M50 tarafında telnet’in dışarıdan erişilebilir olmadığından emin olun. Yönlendiricinin güvenlik duvarında 23 numaralı bağlantı noktasını kapatın, varsa uzaktan yönetim seçeneğini devre dışı bırakın. Cihazı ayrı bir ağ bölümüne taşımak, açık kapatılana kadar riski belirgin biçimde azaltır.
Kavram kanıtı kodları herkese açık olduğu için deneme saldırıları hızla başlayabilir. Ev ağındaki modem ve yönlendiricilerin modelini ve yazılım sürümünü kontrol etmek, bu hafta yapılabilecek en pratik iş.
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.