Luka w routerze dostała 10 na 10. Łatki nie ma.

Biuletyn D-Link dla modelu DIR-822A ma ocenę krytyczności 10,0. Wyższej liczby nie ma.

Luka CVE-2026-86296 siedzi w usłudze DHCP routera, czyli w tej części, która przydziela adres wszystkiemu, co dołącza do sieci. Jedna niechlujna linijka, wywołanie strcpy w pliku udhcpcd/serverpacket.c, pozwala zbyt dużemu żądaniu wyjść poza bufor i podłożyć instrukcje napastnika tam, gdzie powinny być instrukcje routera. Hasło nie jest potrzebne. Wysłać je może cokolwiek, co już jest w sieci, a w zwykłym domu oznacza to telefon gościa, inteligentne gniazdko, tanią kamerę albo laptopa, który coś złapał. Drugi błąd, CVE-2026-86510, psuje pamięć przez parser L2TP routera i dostaje 9,9. Dla obu istnieje publiczny, działający kod demonstracyjny.

D-Link opublikował biuletyn SAP10516 18 września i zaktualizował go 21 września, a aktualizacja nie zawiera żadnej poprawki. Firma wciąż ustala, których rewizji sprzętowych i których regionów to dotyczy oraz czy model nie jest już na tyle stary, że firmware w ogóle nie powstanie. Wersja wskazana w doniesieniach to A_101 na modelu DIR-822A spoza rynku amerykańskiego. Do czasu wydania poprawki rada D-Link jest zdroworozsądkowa: wyłączyć zdalne zarządzanie, żeby strona administracyjna nie była osiągalna z internetu, i trzymać tę stronę z dala od każdej sieci, której byście nie zaufali.

Zróbcie to niezależnie od marki na obudowie. Zalogujcie się dziś do routera, zapiszcie wersję oprogramowania, sprawdźcie, czy zdalne zarządzanie jest włączone, i zobaczcie, czy producent wydał w tym roku cokolwiek. Router, który od trzech lat nie dostaje aktualizacji, to zwykle najsłabszy element w domu. Skanowanie sieci w Tendvane wypisuje każde urządzenie aktualnie podłączone do waszej, co pozwala szybko zauważyć sprzęt, o którym już zapomnieliście.