CVE-2026-120239: command injection nel router WAVLINK WN553X1-B, come verificare e mitigare

È stata pubblicata CVE-2026-120239, una vulnerabilità di command injection (CWE-78) nel router WAVLINK WN553X1-B con firmware V260403_2.0.0. Il difetto permette a un utente autenticato di eseguire comandi arbitrari con privilegi di root sul dispositivo, attraverso il gestore WireGuard CLI. Il punteggio CVSS è 9.9, quindi gravità critica, e l'exploit è già stato reso pubblico. Se gestisci un router di questo modello, o un parco di dispositivi WAVLINK, questa è una priorità operativa. Vediamo chi è esposto, come verificarlo e cosa fare.

Cosa è successo: la vulnerabilità CVE-2026-120239 in WAVLINK WN553X1-B

La falla risiede nella funzione sub_419DA8 del file /bin/ioos, il back-end delle pagine .csp del router (in ascolto su 127.0.0.1:81 dietro lighttpd). Nel ramo di codice action=close del componente WireGuard CLI Handler, il parametro file_id controllato dall'utente viene inserito in una stringa tramite snprintf e passato a popen senza alcuna validazione o sanitizzazione. Poiché l'input finisce all'interno di virgolette doppie, un valore come a";COMMAND;" permette di uscire dalla stringa e iniettare un comando di sistema arbitrario. Dato che il processo ioos gira come root, il comando viene eseguito con i massimi privilegi. L'attacco è realizzabile da remoto e il produttore è stato contattato in fase di disclosure.

Chi è colpito: versioni vulnerabili di WAVLINK WN553X1-B

Secondo l'advisory il prodotto interessato è il router WAVLINK WN553X1-B (modello WN553X3B) con firmware V260403_2.0.0, basato su OpenWrt 21.02 su piattaforma aarch64 / MT7981. Altre versioni di firmware o modelli non sono citate nell'advisory: la presenza della stessa funzione vulnerabile su altre release va verificata direttamente sulle note del produttore. Trattandosi di una famiglia di router WAVLINK, vale la pena controllare anche i modelli affini già oggetto di segnalazioni simili, come la CVE-2026-120196 sul WN579X3-D.

Quanto è grave: punteggio CVSS e sfruttamento della vulnerabilità

Il punteggio è CVSS 9.9 con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Significa attacco dalla rete (AV:N), complessità bassa (AC:L), privilegi minimi richiesti (PR:L, basta una sessione valida), nessuna interazione dell'utente (UI:N) e scope cambiato (S:C). L'impatto su riservatezza, integrità e disponibilità è alto in tutti e tre i casi. In pratica, un attaccante con una sessione valida ottiene l'esecuzione di comandi come root, quindi il controllo completo del router.

Un dettaglio importante: la sessione si ottiene tramite l'endpoint di login e la password di default di fabbrica è admin. Se il router è ancora con credenziali di default, la barriera dell'autenticazione è di fatto inesistente. L'exploit è pubblico, quindi lo sfruttamento è alla portata di chiunque. Al momento la vulnerabilità non risulta nel catalogo CISA KEV, ma la pubblicazione del proof of concept rende lo scenario concreto.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con ordine, partendo dall'identificazione del dispositivo:

• Verifica il modello e il firmware: accedi al pannello di amministrazione del router e controlla modello e versione del firmware nella pagina di stato o informazioni di sistema. Se leggi WN553X1-B con firmware V260403_2.0.0, sei nel perimetro interessato.
• Verifica l'esposizione su internet: controlla se l'interfaccia di amministrazione o la porta del servizio sono raggiungibili dalla rete pubblica. Da una connessione esterna puoi testare se l'IP pubblico risponde sulle porte di gestione. In generale l'amministrazione remota di un router consumer non dovrebbe mai essere esposta.
• Controlla le credenziali: se la password è ancora admin o un valore di default, consideralo già compromesso a livello di rischio.
• Cerca indicatori sui log e sul filesystem: l'advisory indica che l'exploit crea un file di prova in /tmp/pwn. La presenza di file sospetti in /tmp, processi anomali avviati da ioos, nuove regole di rete o DNS modificati sono segnali da investigare. Attenzione: l'exploit può restituire un codice di errore (error: 10001) anche quando il comando iniettato è stato eseguito, quindi non fidarti della risposta ma dei suoi effetti.

Come risolvere la vulnerabilità CVE-2026-120239: patch e aggiornamento

La disponibilità di un firmware corretto da parte di WAVLINK non è indicata nell'advisory e va verificata sul sito ufficiale del produttore. Il produttore è stato informato in anticipo, quindi è plausibile un aggiornamento, ma finché non è confermata una versione che elimina la falla non dare per scontata la presenza di una patch.

In assenza di un firmware risolutivo, l'unico modo per annullare il rischio di sfruttamento da remoto è rimuovere ogni possibilità di raggiungere l'endpoint vulnerabile da reti non fidate, applicando i workaround descritti sotto. Verifica periodicamente la pagina di supporto del modello per il rilascio del firmware aggiornato e applicalo appena disponibile, confrontando l'hash del file scaricato con quello pubblicato.

Cosa fare subito: mitigazioni e hardening del router

In ordine di priorità, mentre attendi un firmware corretto:

1. Disabilita l'amministrazione remota: assicurati che il pannello di gestione e il servizio WireGuard CLI non siano raggiungibili da internet. L'accesso deve essere limitato alla sola rete locale di gestione.
2. Cambia le credenziali di default: imposta una password lunga e univoca. Poiché l'attacco richiede una sessione valida, credenziali robuste alzano la barriera, ma non eliminano il rischio se qualcuno all'interno della rete ha accesso al pannello.
3. Segmenta la rete: isola il router di gestione su una VLAN dedicata, separata da ospiti, dispositivi IoT e utenti non amministrativi. La segmentazione limita chi può anche solo tentare di autenticarsi.
4. Valuta la sostituzione: se il dispositivo svolge funzioni critiche e non arriva un firmware corretto in tempi ragionevoli, considera la sostituzione con hardware mantenuto attivamente. Per la VPN, una configurazione WireGuard fatta bene su piattaforma affidabile è una strada più solida: ne ho parlato nella guida su WireGuard per le PMI.
5. Monitora: attiva o rivedi il logging degli accessi al pannello e tieni sotto osservazione tentativi di login e richieste anomale.

Esempio concreto e anonimo: una piccola azienda usava un router consumer esposto per la VPN dei dipendenti, con password mai cambiata. Non c'era stata compromissione, ma la verifica ha mostrato la porta di gestione raggiungibile dall'esterno. Abbiamo chiuso l'accesso remoto, spostato la gestione su una VLAN dedicata e pianificato la migrazione verso una soluzione VPN mantenuta. Due interventi semplici hanno ridotto drasticamente la superficie d'attacco.

Se sospetti una compromissione: incident response e analisi forense

Se trovi file sospetti in /tmp, processi o configurazioni anomale, trattalo come un possibile incidente. Alcune regole:

• Non spegnere né riavviare subito il dispositivo se devi preservare lo stato: molti artefatti su un router risiedono in memoria volatile e andrebbero persi.
• Isola il dispositivo dalla rete per fermare l'eventuale attività in corso, scollegandolo da internet.
• Preserva i log e ogni evidenza prima di qualsiasi ripristino.
• Ruota le credenziali di tutti i servizi accessibili dal router, incluse eventuali chiavi VPN.
• Valuta una copia forense se l'incidente ha rilevanza legale o contrattuale, per preservare le prove in modo utilizzabile.

Su questi aspetti offro servizi di incident response e analisi forense. Un intervento di cybersecurity va da 2.000 a 8.000 €, mentre un incident response va da 1.500 a 6.000 €; un audit di sicurezza come consulenza IT parte da 500 €. I preventivi sono a prezzo fisso, concordato prima di iniziare.

Fonti ufficiali

• Advisory tecnico WAVLINK WN553X1-B wireguard_cli command injection

Verifica sempre sul sito del produttore la disponibilità di un firmware aggiornato e le versioni effettivamente interessate.

Domande frequenti

Basta cambiare la password per essere al sicuro?

Riduce il rischio perché l'attacco richiede una sessione valida, ma non elimina la vulnerabilità. Chi riesce comunque ad autenticarsi può sfruttarla. Vanno applicati anche l'isolamento dell'accesso remoto e la segmentazione.

Il mio router non è un WN553X1-B, devo preoccuparmi?

Questa CVE riguarda quel modello e firmware. Però vulnerabilità simili sono state segnalate su altri router WAVLINK, quindi è saggio verificare firmware ed esposizione di tutti i dispositivi di rete.

Come faccio a sapere se il router è già stato compromesso?

Cerca file sospetti in /tmp (l'exploit crea /tmp/pwn), processi anomali, configurazioni di rete o DNS modificate e accessi non riconosciuti nei log. In caso di dubbi fai valutare il dispositivo prima di ripristinarlo.

Conviene sostituire il router?

Se non arriva un firmware corretto e il dispositivo svolge funzioni critiche, sì. Una soluzione mantenuta attivamente e una VPN configurata correttamente offrono maggiore sicurezza nel tempo.

Se gestisci router, VPN o reti aziendali e vuoi una verifica indipendente dell'esposizione, puoi richiedere un preventivo gratuito con risposta entro 24 ore, oppure scrivermi dalla pagina contatti. Lavoro a Varese, Como, Milano e in tutta Italia da remoto.