D-Link Systems съобщи, че разследва критична уязвимост в сигурността на своя рутер DIR-822A, проследявана като CVE-2026-86296. Уязвимостта е получила максималната оценка за сериозност по CVSS от 10.0. Тя може да позволи на отдалечени атакуващи да компрометират засегнатите устройства без автентификация или взаимодействие с потребителя.

Проблемът засяга компонента udhcpcd в съобщената версия на фърмуера DIR-822A A_101. Касае се за препълване на буфера в стека (stack-based buffer overflow) в изходния файл udhcpcd/serverpacket.c, където се използва небезопасната функция strcpy за копиране на контролирани от атакуващия данни във фиксиран по размер стек буфер.

Ако подготвеният входен сигнал надвишава наличното пространство в буфера, той може да пренапише съседна памет. Това състояние може да предизвика срив на устройството, прекъсване на услугата или потенциално да позволи на атакуващ да изпълни неоторизиран код върху рутера.

От D-Link заявиха, че разследват уязвимостта и все още не са потвърдили засегнатите ревизии на хардуера, регионалния обхват на продукта или статуса на отстраняване на уязвимостта във фърмуера.

CVE-2026-86296 е класифицирана под CWE-121 (Stack-Based Buffer Overflow) и CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer). Публикуваният вектор CVSS v3.1 е CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R.

Векторът показва, че атаката може да бъде стартирана през мрежа с ниска сложност на атаката. За атакуващите не са необходими валидни идентификационни данни, достъп до локалната мрежа или взаимодействие с жертвата.

Рутер на D-Link е засегнат от уязвимост с CVSS 10.0

Успешното експлоатиране може да засегне поверителността, целостта и наличността, което прави уязвимостта особено сериозна за рутери, изложени директно в обществения интернет.

Съобщава се, че е публикуван публичен концептуален код за експлоатация (proof-of-concept). Подобни разкрития могат да увеличат вероятността от активна експлоатация, тъй като киберпрестъпниците могат да адаптират публичните проучвания в инструменти за сканиране или атака.

Поради това организациите, използващи засегнатия рутер, трябва да третират проблема като спешен въпрос за управление на експозицията, дори докато D-Link продължава работата по потвърждаване.

D-Link потвърди и втора критична уязвимост, засягаща същата съобщена версия DIR-822A A_101. Проследявана като CVE-2026-86510, уязвимостта представлява запис извън границите (out-of-bounds write) във функцията tunnel_set_params на парсера за L2TP контролни съобщения. Тя има оценка CVSS v3.1 от 9.9 и оценка CVSS v4.0 от 9.4.

За разлика от CVE-2026-86296, експлоатирането на CVE-2026-86510 изисква ниски привилегии, въпреки че не изисква взаимодействие с потребителя. Уязвимостта може да позволи повреждане на паметта чрез специално подготвени L2TP контролни съобщения. Докладван е и публичен концептуален код за експлоатация.

D-Link препоръчва на собствениците на DIR-822A да проверят точния си модел, хардуерна ревизия и инсталирана версия на фърмуера, преди да предприемат действия. Потребителите трябва да избягват излагането на административните интерфейси на рутера в интернет, да изключват отдалеченото управление, когато то не е от съществено значение, и да ограничават административния достъп до доверени системи.

Клиентите трябва да следят съответния си регионален портал за поддръжка на D-Link за обновления на фърмуера или насоки за сигурност на продукта. От D-Link предупредиха, че фърмуерът е специфичен за всяка хардуерна ревизия и инсталирането на версия, предназначена за различна ревизия, може да повреди устройството или да го остави незащитено.