CVE-2026-120231: command injection nel router WAVLINK WN553X1-B, come verificare e mitigare

È stata pubblicata CVE-2026-120231, una vulnerabilità di tipo command injection nel router WAVLINK WN553X1-B con firmware V260403_2.0.0. Il difetto si trova nel componente OpenVPN CLI Handler e permette, a un attaccante autenticato, di eseguire comandi arbitrari sul dispositivo con privilegi di root. Il punteggio CVSS è 9.9, quindi gravità critica, e l'exploit è già stato divulgato pubblicamente. Se usi questo modello in azienda o lo hai fornito a clienti, leggi con attenzione come verificare l'esposizione e cosa fare subito.

Cosa è successo: la vulnerabilità CVE-2026-120231 in WAVLINK WN553X1-B

La falla riguarda la funzione sub_416568 del file /bin/ioos, il back-end delle pagine .csp del router. Il parametro file_id, controllato dall'utente, viene inserito in una stringa passata poi a popen senza validazione adeguata (viene fatto solo un controllo sugli spazi). Inserendo un valore come file_id costruito ad arte si esce dalla stringa tra virgolette e si inietta un comando di sistema, eseguito con privilegi di root perché il processo ioos gira come root. La categoria tecnica è OS command injection (CWE-78) e l'attacco può essere avviato da remoto.

L'advisory descrive una vulnerabilità autenticata: serve una sessione valida, ottenibile tramite l'endpoint di login. Il punto debole è che la password di fabbrica è nota (admin), quindi su dispositivi mai riconfigurati la condizione di autenticazione è facilmente aggirabile. Questa falla è distinta ma affine ad altre segnalate sulla stessa famiglia di router, come la CVE-2026-120239 sullo stesso WN553X1-B.

Chi è colpito: versioni vulnerabili di WAVLINK WN553X1-B

Secondo l'advisory è interessato il router WAVLINK WN553X1-B (modello WN553X3B) con firmware V260403_2.0.0, basato su OpenWrt 21.02, architettura aarch64 su piattaforma MT7981. Altre versioni di firmware non sono indicate come testate: se usi una build diversa, va verificato sull'advisory ufficiale e presso il produttore se è anch'essa vulnerabile.

Questi dispositivi sono router di fascia consumer o piccolo ufficio, spesso usati per connettività secondaria, filiali o sedi distaccate. È proprio in questi contesti che il controllo sulla configurazione è più debole e la password di default resta invariata.

Quanto è grave: punteggio CVSS e sfruttamento della vulnerabilità

Il punteggio è CVSS 9.9 (CRITICAL), con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. In pratica: l'attacco è di rete, la complessità è bassa, servono privilegi bassi (una sessione autenticata), non è richiesta interazione dell'utente e l'impatto è massimo su riservatezza, integrità e disponibilità, con cambio di scope.

Un attaccante che sfrutta con successo questa falla ottiene esecuzione di comandi arbitrari come root sul router. Questo significa controllo totale del dispositivo: lettura e modifica della configurazione, intercettazione del traffico, creazione di persistenza, uso del router come punto d'appoggio verso la rete interna. L'exploit è stato divulgato pubblicamente e può essere utilizzato. Al momento la vulnerabilità non risulta nel catalogo CISA KEV, ma la disponibilità pubblica del proof of concept riduce di molto la barriera per un attacco.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con ordine, partendo dall'identificazione dei dispositivi.

• Modello e firmware: accedi al pannello di amministrazione del router e controlla modello e versione firmware nella sezione informazioni di sistema. Se è un WN553X1-B con firmware V260403_2.0.0, consideralo vulnerabile.
• Esposizione su internet: verifica se l'interfaccia di amministrazione o il servizio .csp è raggiungibile dalla rete pubblica. Dall'esterno, prova a raggiungere l'IP WAN sulle porte di gestione. Il back-end gira internamente su 127.0.0.1:81 dietro lighttpd, ma è la pagina /protocol.csp esposta a essere il punto di accesso.
• Password di fabbrica: se la credenziale admin è ancora quella di default, l'autenticazione richiesta dall'exploit è di fatto nulla. Questo alza la priorità dell'intervento.
• Log e indicatori: controlla i log del router per richieste POST verso /protocol.csp con parametri opt=openvpn_cli e valori anomali nel parametro file_id. L'advisory segnala che l'esecuzione può avvenire anche se la risposta riporta un errore applicativo, quindi non fidarti del solo codice di risposta. Cerca file sospetti in directory temporanee come /tmp e processi o pianificazioni non previsti.

Come risolvere la vulnerabilità: patch e aggiornamento del firmware

La disponibilità di un firmware corretto non è indicata nelle informazioni pubbliche a disposizione. Il produttore è stato contattato in fase di divulgazione, ma una versione risolutiva o una data di rilascio vanno verificate direttamente sulla pagina di supporto ufficiale WAVLINK e sull'advisory del prodotto.

Finché non è disponibile un firmware che corregge la validazione del parametro file_id, non esiste una patch applicabile e occorre affidarsi alle mitigazioni descritte sotto. Appena il produttore pubblica un aggiornamento, applicalo con priorità, verificando l'integrità del file e, se possibile, resettando il dispositivo dopo l'aggiornamento.

Cosa fare subito: mitigazioni e hardening del router

In assenza di patch confermata, riduci subito la superficie di attacco in questo ordine:

1. Togli l'amministrazione da internet: assicurati che il pannello e l'endpoint .csp non siano raggiungibili dalla WAN. Limita la gestione alla sola rete locale o a una VLAN dedicata.
2. Cambia subito la password di default: imposta una credenziale robusta e unica. Questo non elimina la falla ma alza l'asticella per chi tenta lo sfruttamento autenticato.
3. Segmenta la rete: isola il router su una VLAN separata e filtra con un firewall gli accessi verso le risorse interne, così che un eventuale compromesso non si propaghi.
4. Disabilita OpenVPN se non serve: se la funzione OpenVPN client non è utilizzata, disattivala per ridurre l'esposizione del componente vulnerabile.
5. Valuta la sostituzione: per sedi che richiedono VPN affidabili, considera soluzioni mantenute e aggiornate. Ho trattato un approccio moderno in questa guida a WireGuard per PMI.
6. Monitora i log: attiva la raccolta centralizzata dei log del router e metti in allerta su richieste anomale all'endpoint .csp.

Se sospetti una compromissione: incident response e analisi forense

Se trovi tracce di sfruttamento o comportamenti anomali, non spegnere e non resettare il dispositivo di getto: rischi di distruggere prove utili. Procedi così:

• Isola il router dalla rete, scollegandolo logicamente ma preservandone lo stato dove possibile.
• Conserva i log disponibili, la configurazione e ogni evidenza, esportandoli prima di qualsiasi intervento.
• Ipotizza che le credenziali transitate dal dispositivo siano compromesse e pianifica la rotazione.
• Verifica movimenti laterali verso server e postazioni interne.
• Se sono coinvolti dati personali, valuta gli obblighi di notifica previsti dal GDPR.

In caso di incidente serio è utile una gestione strutturata con acquisizione forense e analisi. Nel mio studio seguo attività di incident response e analisi forense: la consulenza IT parte da 500 €, l'incident response da 1.500 €. Puoi vedere come lavoro nella pagina come funziona un incarico.

Fonti ufficiali

Advisory tecnico con dettagli e proof of concept: WAVLINK WN553X1-B OpenVPN CLI command injection. Verifica sempre la pagina di supporto ufficiale del produttore per l'eventuale firmware corretto.

Domande frequenti

La CVE-2026-120231 è sfruttabile senza password?

No, richiede una sessione autenticata. Il problema è che la password di fabbrica è nota, quindi su dispositivi non riconfigurati l'autenticazione offre poca protezione reale.

Esiste già una patch per il WAVLINK WN553X1-B?

La disponibilità di un firmware correttivo non è confermata nelle informazioni pubbliche. Va verificata sul sito di supporto WAVLINK. Nel frattempo valgono le mitigazioni descritte.

Basta cambiare la password per essere al sicuro?

Riduce il rischio ma non elimina la vulnerabilità. Serve anche togliere la gestione da internet, segmentare la rete e, se non serve, disabilitare OpenVPN.

Come faccio a sapere se il router è stato compromesso?

Controlla i log per richieste anomale all'endpoint /protocol.csp, file sospetti nelle directory temporanee e processi non previsti. In caso di dubbi serve un'analisi più approfondita.

Se gestisci router WAVLINK o altri apparati di rete in azienda e vuoi capire se sei esposto, posso fare un controllo mirato e proporti le mitigazioni corrette. Richiedi un preventivo gratuito con risposta entro 24 ore oppure scrivimi dalla pagina contatti.