CVE-2026-13385
KrytyczneCVSS 9.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W routerach ASUS wykryto podatność polegającą na nieprawidłowej walidacji wartości kontroli integralności oraz nieprawidłowej walidacji certyfikatów. Umożliwia ona zdalnemu atakującemu typu man-in-the-middle (MITM) nakłonienie routera do pobrania i wykonania dowolnego polecenia z fałszywego serwera.
Ocena ryzyka
Atakujący może przejąć kontrolę nad routerem, zmieniając jego konfigurację, przechwytując ruch sieciowy lub instalując złośliwe oprogramowanie, co stanowi poważne zagrożenie dla bezpieczeństwa całej sieci lokalnej.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe (firmware) routera ASUS do najnowszej wersji dostępnej w oficjalnym biuletynie bezpieczeństwa ASUS. Przed aktualizacją zaleca się również tymczasowe ograniczenie dostępu do panelu administracyjnego routera tylko z zaufanych sieci.
Inne podatności w ASUS Router
Zobacz wszystkie- CVE-2026-14911Krytyczne
Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.
- CVE-2026-19386Krytyczne
Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.
- CVE-2026-14157Krytyczne
Użycie zewnętrznie kontrolowanego łańcucha formatującego w modułach routerów ASUS umożliwia zdalnemu uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń poprzez przesłanie spreparowanego pliku przez interfejs zarządzania siecią.
- CVE-2026-16528Wysokie
W niektórych modelach routerów ASUS występuje wstawianie wrażliwych informacji do pliku dziennika, co pozwala zdalnemu uwierzytelnionemu atakującemu na uzyskanie poświadczeń DDNS z dziennika systemowego, potencjalnie umożliwiając modyfikację ustawień DNS.
- CVE-2026-11851Średnie
Podatność SQL Injection w interfejsie zarządzania siecią niektórych routerów ASUS umożliwia zdalnemu, uwierzytelnionemu użytkownikowi ujawnienie poufnych informacji poprzez spreparowane żądanie omijające istniejącą walidację wejścia.
Oryginalny opis (angielski, źródło NVD)
An Improper Validation of Integrity Check Value and Improper Certificate Validation in certain ASUS router models allows a remote man-in-the-middle(MITM) user to make the router download and execute arbitrary command via a spoofed server. Refer to the ' Security Update for ASUS Router Firmware ' section on the ASUS Security Advisory for more information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS