D-Link предупреди клиентите си за уязвимост с максимална степен на критичност (CVE-2026-86296), за която съществува публично достъпен зловреден код за експлоатация (PoC) и липсва налична корекция за сигурност. Засегнати са остарелите двубандови Wi-Fi рутери DIR-822A.
Тази уязвимост в сигурността произтича от препълване на стековия буфер (stack-based buffer overflow) и неправилно обработване на данни в компонента на DHCP сървъра, като може да бъде експлоатирана без необходимост от автентикация или потребителско взаимодействие.
Атакуващи без валидни идентификационни данни, намиращи се в същата локална мрежа, могат да изпратят специално модифицирани DHCP пакети към устройството, да предизвикат препълване и потенциално да сринат DHCP процеса (daemon) или да постигнат отдалечено изпълнение на код (RCE) върху таргетираните устройства.
От D-Link също предупредиха, че изследователят по сигурността, открил и докладвал проблема, е публикувал зловредния код за експлоатация (PoC), което може да позволи на киберпрестъпниците по-бързо да я използват за реални атаки.
„Специално разработена заявка може да предизвика превишаване на наличния стеков буфер при обработка от функцията strcpy. Успешната експлоатация може да доведе до компрометиране на паметта и да позволи на атакуващ да засегне поверителността, целостта или наличността на устройството“, обяснява компанията в бюлетин за сигурност от петък.
„Тази уязвимост засяга функцията strcpy във файла udhcpcd/serverpacket.c от компонента udhcpcd. Тази манипулация води до препълване на стековия буфер. Възможно е атаката да бъде извършена отдалечено. Зловредният код за експлоатация е публично разкрит и може да бъде използван.“
D-Link разследва и втора уязвимост с публичен PoC код, засягаща рутерите DIR-822A — критично записване извън границите (CVE-2026-86510) в парсера на контролни съобщения за L2TP, докладвано от същия изследовател.
Злонамерени субекти с базови привилегии могат да експлоатират CVE-2026-86510, за да предизвикат произволно компрометиране на паметта чрез манипулиране на входящите данни, причинявайки записване извън границите при атаки срещу устройства, конфигурирани да използват L2TP или L2TPv6 WAN свързаност.
Въпреки че D-Link все още разследва двата дефекта и работи по корекции за сигурност, компанията съветва клиентите да се уверят, че техните рутери DIR-822A не са достъпни от интернет, да ограничат достъпа за отдалечено управление и да позволят административен достъп само на доверени системи и потребители чрез защитна стена или контроли за достъп до мрежата.
Въпреки че компанията все още не е отбелязала тези уязвимости като активни в реални атаки, атакуващите често таргетират уязвими устройства на D-Link, заразяват ги със зловреден софтуер и ги добавят към мащабни ботнети, използвани за распределени атаки за отказ на услуга (DDoS).
Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) проследява 26 уязвимости в устройства на D-Link, които са били или все още се експлоатират при атаки, като две от тях са използвани и от банди за откупен софтуер (ransomware).