Tenda’nın BE3L Pro model router’ında, 21 Ekim 2026’da yayınlanan bir güvenlik açığı tespit edildi. CVE-2026-114268 numarası verilen açık, cihazın 16.03.60.62 sürümlü yazılımını etkiliyor. Açığın istismar kodu (PoC) kamuya açık ve üreticiden henüz bir yama duyurusu gelmedi.
Açık nerede?
Sorun, cihazın web arayüzündeki /goform/WifiBasicSet adresinde çalışan formWifiBasicSet fonksiyonunda. Bu fonksiyon, kablosuz ağ ayarlarını kaydederken security_5g parametresinden gelen değeri sabit boyutlu bir belleğe kopyalıyor ve uzunluk kontrolü yapmıyor. Sonuç, CWE-120 olarak sınıflandırılan yığın tabanlı tampon taşması (stack-based buffer overflow).
VulDB kaydına göre saldırı ağ üzerinden başlatılabiliyor. CVSS 3.1 vektörü, saldırganın cihazda oturum açmış düşük yetkili bir hesaba ihtiyaç duyduğunu gösteriyor; yani yönetim arayüzüne erişimi olan biri, hazırlanmış bir istekle cihazın belleğini bozabiliyor. Açığın CVSS 3.1 taban puanı 9.9, CVSS 4.0 puanı ise 8.6.
Neden ciddiye alınmalı?
Tampon taşması, doğru kurgulandığında yalnızca cihazın çökmesine değil, bellekteki yürütme akışının değiştirilmesine de yol açabiliyor. Ev ağında bu, router üzerinden akan trafiğin izlenmesi ya da yerel ağdaki diğer cihazlara geçiş için kapı aralanması anlamına gelebilir. Router’lar bu yüzden ev ağının en kritik parçası sayılıyor: cihazın kendisi güvenli olsa bile ağ geçidi ele geçirilirse tüm bağlantı zinciri etkileniyor.
Riskin boyutunu artıran iki unsur var: istismar kodu GitHub üzerinde yayınlanmış durumda ve VulDB istismarı ‘kolay’ olarak değerlendiriyor. Buna karşılık kayıtta üretici tarafında tanımlanmış bir karşı önlem ya da yama bilgisi yer almıyor; üretici durumu ‘tanımlanmamış’ olarak işaretli. VulDB, önlem olarak etkilenen cihazın alternatifiyle değiştirilmesini öneriyor.
Kullanıcılar ne yapabilir?
Öncelikle cihazın yönetim arayüzünün internetten erişilebilir olmadığından emin olun. Tenda arayüzünde uzak yönetim (remote management) kapalı olmalı; modem yönlendirmesinde router’ın yönetim portu dışarı açılmamalı. Açık, oturum açmış bir hesap üzerinden tetiklendiği için varsayılan yönetici parolasının değiştirilmiş olması da önemli.
İkinci adım, üreticinin yazılım güncellemesini takip etmek. Tenda’nın destek sayfasında BE3L Pro için yeni firmware yayınlanıp yayınlanmadığı kontrol edilmeli; güncelleme geldiğinde cihaz yeniden başlatılarak uygulanmalı. Uzun süre yama çıkmazsa, kritik puanlı bu açık nedeniyle cihazın değiştirilmesi veya internete açık yüzünün daraltılması makul bir seçenek.
Kaynak: VulDB · NVD
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.