CVE-2026-120195: command injection nel router WAVLINK WN579A3, come verificare e mitigare

È stata pubblicata CVE-2026-120195, una vulnerabilità di tipo command injection che colpisce il router WAVLINK WL-WN579A3-A. Il difetto permette a un attaccante remoto e non autenticato di eseguire comandi di sistema con privilegi di root sul dispositivo. Il punteggio CVSS è 10, il massimo, e un exploit funzionante è già stato reso pubblico. Se gestisci una rete aziendale o domestica con questo modello di router, in particolare se il dispositivo è in stato di configurazione iniziale, devi verificare subito la tua esposizione. Qui spiego cosa è noto, come controllare se sei interessato e quali misure adottare.

Cosa è successo: la vulnerabilità CVE-2026-120195 in WAVLINK WN579A3

La falla risiede nella funzione set_wzdgwMesh del file /cgi-bin/adm.cgi, componente che gestisce la procedura guidata di configurazione iniziale (Initial Setup Wizard) del router. L'elaborazione del parametro wlan_ssid non esegue una validazione sufficiente dell'input: un controllo blacklist filtra solo alcuni caratteri (barra verticale e backtick), ma lascia passare altri metacaratteri di shell. Questo consente a un attaccante di iniettare comandi di sistema tramite richieste HTTP appositamente costruite. L'attacco è realizzabile da remoto e, secondo la descrizione ufficiale, l'exploit è stato divulgato pubblicamente e potrebbe già essere utilizzato. Il produttore è stato contattato in anticipo riguardo alla divulgazione.

Chi è colpito: versioni vulnerabili di WAVLINK WN579A3

La versione indicata come affetta è il firmware WINSTAR_WN579A3-A-2026-03-10-94f93d4 del router WAVLINK WL-WN579A3-A, basato su SoC MediaTek MT7628 con OpenWrt (Chaos Calmer 15.05.1, kernel 3.10.108) e interfaccia LuCI servita da lighttpd 1.4.45.

• Dispositivo: WAVLINK WL-WN579A3-A.
• Firmware di riferimento: build 2026-03-10 (94f93d4).
• Condizione critica: lo sfruttamento non autenticato è possibile quando il dispositivo è nello stato di configurazione iniziale, ovvero appena estratto dalla confezione o dopo un ripristino di fabbrica, con l'opzione UserInit impostata a 0.

L'elenco completo delle versioni interessate e di eventuali altri modelli va verificato sull'advisory ufficiale del produttore.

Quanto è grave: punteggio CVSS e sfruttamento della vulnerabilità

Il punteggio è CVSS 10 su 10, gravità critica, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Tradotto per chi non è del mestiere: l'attacco è sferrabile via rete (AV:N), con bassa complessità (AC:L), senza bisogno di credenziali (PR:N) né di interazione dell'utente (UI:N), con cambio di ambito (S:C) e impatto totale su riservatezza, integrità e disponibilità. In pratica un attaccante ottiene esecuzione di comandi arbitrari come root, cioè il controllo completo del router. Da lì può intercettare il traffico, reindirizzare le connessioni, usare il dispositivo come punto d'appoggio verso la rete interna o inserirlo in una botnet.

Al momento questa CVE non risulta inserita nel catalogo CISA KEV delle vulnerabilità sfruttate in modo attivo, ma l'exploit è pubblico. La differenza tra exploit pubblico e sfruttamento diffuso è spesso solo questione di giorni.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con alcuni controlli concreti.

1. Identifica il modello e il firmware: accedi all'interfaccia web del router (di norma all'indirizzo del gateway, ad esempio 192.168.10.2 secondo la PoC) e controlla nella sezione di stato o informazioni di sistema la stringa di versione. Confrontala con la build 2026-03-10 (94f93d4).
2. Verifica lo stato di configurazione: la condizione più pericolosa è quando il dispositivo è ancora nello stato iniziale (UserInit=0). Un router mai configurato, appena acquistato o appena resettato è il bersaglio ideale.
3. Controlla se l'interfaccia è raggiungibile da internet: il pannello di amministrazione non deve mai essere esposto sulla WAN. Da una rete esterna prova a raggiungere l'IP pubblico sulle porte di gestione (tipicamente 80 e 443) e verifica che il management remoto sia disabilitato nella configurazione.
4. Esamina i log: cerca richieste POST verso /cgi-bin/adm.cgi con parametro page=wzdgwMesh e valori anomali nel campo wlan_ssid contenenti metacaratteri come punto e virgola, virgolette o cancelletto. La presenza di file sospetti nel filesystem del router (ad esempio file creati di recente nella root) è un ulteriore indicatore.

Come risolvere la vulnerabilità CVE-2026-120195: patch e aggiornamento

La versione di firmware corretta e la disponibilità di una patch ufficiale non sono al momento note e vanno verificate direttamente sulle pagine di supporto del produttore. Se WAVLINK ha rilasciato o rilascerà un aggiornamento, va scaricato solo dai canali ufficiali e applicato dall'interfaccia di amministrazione del router, seguendo le istruzioni del costruttore.

Finché non è disponibile un firmware correttivo, non è possibile eliminare la vulnerabilità alla radice: bisogna ridurre la superficie di attacco con le mitigazioni descritte sotto. Per dispositivi di questo tipo, spesso di fascia economica e con cicli di supporto brevi, è realistico considerare anche la sostituzione con un modello mantenuto se la patch non arriva in tempi ragionevoli.

Cosa fare subito: mitigazioni e hardening del router

In ordine di priorità:

• Completa subito la configurazione iniziale: portare il dispositivo fuori dallo stato UserInit=0 riduce la finestra in cui l'attacco non autenticato è possibile. Imposta una password amministrativa forte.
• Disabilita l'accesso al pannello dalla WAN: il management deve essere raggiungibile solo dalla rete locale, mai da internet.
• Isola il dispositivo: se usato in azienda, collocalo in una VLAN separata e limita con firewall chi può raggiungere la sua interfaccia di gestione.
• Non ripristinare alle impostazioni di fabbrica se non strettamente necessario, perché il reset riporta il router nello stato iniziale vulnerabile; se devi farlo, completa la configurazione immediatamente, su una rete isolata.
• Cambia le credenziali di amministrazione e del Wi-Fi dopo aver messo in sicurezza il dispositivo.

Questi interventi su firewall, VLAN e segmentazione sono tra i servizi dello studio dedicati alla messa in sicurezza delle reti aziendali. Se gestisci più sedi o device simili, un piano di continuità e un inventario dei dispositivi aiutano a reagire più in fretta a questo tipo di allerte.

Se sospetti una compromissione: incident response e analisi forense

Se trovi tracce di sfruttamento o il router mostra comportamenti anomali (regole DNS modificate, traffico inatteso, file sconosciuti), tratta il dispositivo come compromesso.

• Non spegnere e non resettare d'impulso: rischi di cancellare prove utili.
• Preserva i log del router e di eventuali apparati a monte (firewall, server) prima che ruotino.
• Isola il dispositivo dalla rete, scollegandolo dalla WAN, per bloccare l'attività dell'attaccante senza distruggere lo stato.
• Verifica gli altri sistemi: un router compromesso può essere stato usato come trampolino verso la rete interna.
• Valuta la notifica se sono coinvolti dati personali, in base agli obblighi applicabili alla tua organizzazione.

In caso di incidente, l'attività di incident response parte da 1.500 € e un audit di sicurezza o vulnerability assessment rientra nella consulenza IT da 500 a 2.500 €. Quando serve ricostruire l'accaduto con valore probatorio, l'acquisizione forense e l'analisi seguono una procedura documentata e ripetibile. Trovi altri casi nella sezione blog, ad esempio sulla gestione delle vulnerabilità del kernel Linux.

Fonti ufficiali

• Advisory tecnico e PoC su GitHub (pipiyyb/cve)

Verifica sempre l'advisory ufficiale del produttore per la versione corretta e l'eventuale patch.

Domande frequenti

Il mio router WAVLINK è a rischio se l'ho già configurato?

Lo sfruttamento non autenticato descritto richiede lo stato di configurazione iniziale (UserInit=0). Un router già configurato riduce la finestra di rischio, ma va comunque messo in sicurezza e aggiornato appena disponibile una patch ufficiale.

Esiste già una patch per CVE-2026-120195?

La versione correttiva non è al momento nota e va verificata sulle pagine di supporto del produttore. Fino ad allora applica le mitigazioni: completa la configurazione, blocca l'accesso dalla WAN e isola il dispositivo.

Un attacco a questo router può colpire il resto della rete?

Sì. Chi ottiene il controllo root del router può intercettare il traffico e usare il dispositivo come punto d'appoggio verso i computer e i server della rete interna. Per questo isolamento e segmentazione sono prioritari.

Posso verificare da solo se sono stato compromesso?

Puoi controllare log e configurazione cercando richieste anomale verso adm.cgi e modifiche sospette. Per una valutazione affidabile, con valore probatorio in caso di contenzioso, serve un'analisi forense condotta con metodo.

Se usi questo router in azienda o in studio e vuoi capire quanto sei esposto, posso verificare la configurazione, isolare il dispositivo e controllare se ci sono tracce di intrusione. Scrivimi dalla pagina contatti o richiedi un preventivo gratuito: rispondo entro 24 ore.