ASUS załatał w piątek trzy luki w routerach i nie powiedział, w których

ASUS opublikował w piątek 23 października biuletyn zatytułowany Security Update for ASUS Router Firmware. Trzy luki, wszystkie z oceną High, wszystkie w linii firmware'u 3.0.0.6_102, czyli tej, która działa na nowszym sprzęcie Wi-Fi 7 i ZenWiFi.

Liczy się przede wszystkim CVE-2026-93489 z oceną 8,7. Atakujący w sieci sąsiadującej wysyła żądanie HTTP, fałszuje bilet dostępu i od tego momentu wykonuje na routerze operacje administracyjne. Bez hasła, bez logowania. Sieć sąsiadująca oznacza kogoś, kto jest już w zasięgu twojego Wi-Fi, a nie dowolną osobę w internecie, więc realistyczna wersja to sąsiad, gość, który kiedyś dostał hasło do sieci dla gości, albo tania inteligentna wtyczka, którą ktoś już przejął. Pozostałe dwie wymagają więcej szczęścia: CVE-2026-75775 z oceną 7,7 uruchamia polecenia jako root, ale tylko dopóki router jest w stanie fabrycznym, a CVE-2026-75779 z oceną 8,6 wymaga, żebyś był zalogowany w panelu administracyjnym i wtedy odwiedził złośliwą stronę w innej karcie. Na razie nikt nie zgłosił wykorzystania żadnej z nich.

Czego ASUS nie opublikował, to lista objętych modeli, co czyni całą sprawę bardziej uciążliwą, niż powinna być. Praktyczna droga to otworzyć stronę administracyjną routera, odczytać wersję firmware'u i porównać ją z tym, co oferuje strona wsparcia ASUS dla twojego modelu. Jeśli tam jest nowsza, zainstaluj. Jeśli nie możesz zaktualizować od razu, ASUS podaje rozsądne półśrodki: hasło administratora i hasło Wi-Fi o długości co najmniej dziesięciu znaków, wyłączony zdalny dostęp z internetu oraz przegląd listy powiązanych urządzeń i sesji aplikacji pod kątem czegokolwiek, czego nie rozpoznajesz.

To trzeci w tym miesiącu biuletyn ASUS dotyczący routerów, po tych z 7 i 20 października, co sporo mówi o tym, jak często trzeba tu zaglądać. Skanowanie sieci w Tendvane wypisuje wszystko, co jest w tej chwili podłączone do twojego Wi-Fi, i zwykle właśnie tak obce urządzenie zwraca na siebie uwagę.