CVE-2026-120196: command injection nel router WAVLINK WN579X3-D, come verificare e mitigare

È stata pubblicata CVE-2026-120196, una vulnerabilità di tipo command injection nel router WAVLINK WN579X3-D con firmware M79X3D.V250402 (V250402). Il difetto risiede nella funzione port_forward del file /cgi-bin/wapi.cgi: manipolando il parametro name un attaccante autenticato può iniettare comandi di sistema ed eseguirli con privilegi di root. Il punteggio CVSS è 9.9 (CRITICAL) e l'exploit è pubblico. Al momento non risulta inserita nel catalogo CISA KEV, ma la presenza di un exploit pubblico rende la correzione urgente.

Cosa è successo: la vulnerabilità CVE-2026-120196 in WAVLINK WN579X3-D

La vulnerabilità è un'OS command injection autenticata. L'input dell'utente passato nel parametro name non viene sanificato correttamente: un filtro a blacklist blocca solo i backtick e il punto e virgola, lasciando passare caratteri come |, > e &. L'input viene poi usato per costruire un comando con snprintf ed eseguito tramite popen, che restituisce l'esecuzione di codice arbitrario. Secondo l'advisory anche il controllo del Referer è di fatto aggirabile, quindi l'unica barriera reale resta l'autenticazione. Il produttore è stato contattato in anticipo rispetto alla divulgazione.

Chi è colpito: versioni vulnerabili di WAVLINK WN579X3-D

Il prodotto interessato è il router WAVLINK WN579X3-D con firmware M79X3D.V250402 (indicato anche come V250402 / M_V250402). Non è nota al momento una versione di firmware corretta: va verificata direttamente sull'advisory ufficiale e sul sito del produttore. Se utilizzi questo modello in ufficio, in filiale o come apparato di connettività secondario, consideralo potenzialmente esposto finché non confermi la versione installata e la disponibilità di una patch.

Attenzione anche a un modello simile della stessa famiglia, trattato in CVE-2026-120195 per il WAVLINK WN579A3: molti ambienti hanno in rete più apparati dello stesso vendor.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H porta a un punteggio di 9.9, gravità critica. Significa attacco remoto (AV:N), bassa complessità (AC:L), privilegi bassi richiesti (PR:L, cioè un account autenticato anche non amministrativo), nessuna interazione utente (UI:N) e scope changed (S:C), con impatto alto su riservatezza, integrità e disponibilità.

In pratica, chi riesce ad autenticarsi al pannello del router ottiene esecuzione di codice remoto con privilegi di root, cioè il controllo completo del dispositivo. Un router compromesso diventa un punto di appoggio per intercettare traffico, dirottare DNS, aprire accessi verso la rete interna e lanciare attacchi successivi. L'exploit è pubblico; lo sfruttamento attivo non risulta nel catalogo CISA KEV, ma questo non riduce la priorità di intervento.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con tre controlli concreti.

• Versione del firmware: accedi al pannello del router dal browser (tipicamente all'indirizzo IP del gateway, ad esempio 192.168.0.1 o 192.168.10.1), poi nella sezione di stato o informazioni di sistema leggi la versione firmware. Se compare V250402 / M79X3D.V250402 sei sulla versione indicata come vulnerabile.
• Esposizione da internet: verifica che l'interfaccia di amministrazione web non sia raggiungibile dalla rete pubblica. Dall'esterno prova a contattare l'IP pubblico sulle porte di gestione (ad esempio 80 e 443) e controlla nel router se è attiva una funzione di "remote management" o "accesso WAN". Se è attiva, disattivala.
• Indicatori nei log: nei log del router cerca richieste anomale verso /cgi-bin/wapi.cgi con parametro opt=port_forward e un name contenente caratteri come |, > o &. Controlla anche configurazioni di port forwarding, DNS o utenti amministrativi che non riconosci.

Dato che la vulnerabilità richiede un account autenticato, verifica subito se è ancora in uso la password di default o una credenziale debole: è la condizione che rende l'attacco banale.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Una versione di firmware correttiva non è indicata nelle informazioni disponibili e va verificata sull'advisory del produttore e sui canali di supporto WAVLINK. Se e quando il vendor rilascerà un aggiornamento che risolve CVE-2026-120196, applicalo appena disponibile seguendo la procedura ufficiale di upgrade del firmware.

Finché la patch non è disponibile, non puoi considerare risolto il problema con il solo aggiornamento. Devi agire sui workaround e sulle mitigazioni descritte nella sezione seguente, perché l'exploit è già pubblico.

Cosa fare subito: mitigazioni e hardening

In ordine di priorità:

1. Elimina ogni esposizione su internet dell'interfaccia di amministrazione. Disattiva la gestione remota via WAN e consenti l'accesso al pannello solo dalla rete locale.
2. Rafforza l'autenticazione: cambia subito la password di amministrazione con una lunga e univoca. Poiché la vulnerabilità richiede un account valido, togliere credenziali deboli riduce molto la superficie.
3. Segmenta la rete: isola il router e i dispositivi gestiti in una VLAN dedicata, limita l'accesso al pannello a un numero ristretto di postazioni. Una buona segmentazione contiene i danni anche in caso di compromissione.
4. Valuta la sostituzione dell'apparato con un modello supportato se la patch tarda ad arrivare, soprattutto se il router serve traffico aziendale o separa reti.
5. Monitora i log per richieste anomale a wapi.cgi e per modifiche non autorizzate alla configurazione.

Se non gestisci internamente apparati di rete e configurazioni, questi interventi rientrano nella consulenza IT e nella messa in sicurezza delle reti aziendali che offro a PMI e studi professionali.

Se sospetti una compromissione: incident response e analisi forense

Un router violato può aver modificato DNS, regole di forwarding o credenziali e aver aperto accessi alla rete interna. Se trovi indicatori sospetti:

• Non ripristinare né aggiornare subito l'apparato prima di aver preservato le prove: la configurazione e i log possono servire a capire cosa è stato fatto.
• Isola il dispositivo scollegandolo dalla rete pubblica, mantenendolo acceso dove possibile per conservare lo stato volatile.
• Raccogli e metti al sicuro i log del router e di eventuali firewall o server a valle.
• Ruota le credenziali dei sistemi raggiungibili attraverso quella rete, perché il traffico potrebbe essere stato intercettato.
• Fai valutare l'impatto e, se ci sono dati personali coinvolti, considera gli obblighi di notifica previsti dal GDPR.

In questi casi intervengo con incident response e analisi forense: ricostruisco l'accaduto, preservo le prove in modo ripetibile e definisco il rientro in sicurezza. L'incident response parte da 1.500 €, un audit di sicurezza rientra nella consulenza IT da 500 a 2.500 €.

Fonti ufficiali

• Advisory tecnico CVE-2026-120196 (WAVLINK WN579X3-D)

Verifica sempre le informazioni su versioni corrette e disponibilità della patch direttamente sull'advisory e sui canali ufficiali del produttore.

Domande frequenti

CVE-2026-120196 è sfruttata attivamente?

Al momento non risulta nel catalogo CISA KEV, ma l'exploit è pubblico. La correzione va comunque trattata come urgente.

Basta cambiare la password per essere al sicuro?

Riduce molto il rischio, perché l'attacco richiede un account autenticato, ma non elimina la vulnerabilità. Vanno applicate anche le altre mitigazioni e, quando disponibile, la patch del firmware.

Il mio modello WAVLINK diverso è interessato?

Questa CVE riguarda il WN579X3-D con firmware V250402. Modelli simili della stessa famiglia hanno avuto falle analoghe: verifica ogni apparato separatamente.

Come faccio a sapere se il router è stato compromesso?

Controlla log, regole di port forwarding, impostazioni DNS e utenti amministrativi non riconosciuti. In caso di dubbio serve un'analisi forense per avere certezza.

Hai un WAVLINK WN579X3-D o altri apparati di rete esposti e vuoi una verifica indipendente? Richiedi un preventivo gratuito con risposta entro 24 ore, oppure scrivimi dai contatti.