CVE-2026-120279: command injection nel router WAVLINK WN536AX6-A, come verificare e mitigare

È stata pubblicata CVE-2026-120279, una vulnerabilità critica di tipo OS command injection nel router WAVLINK WN536AX6-A. La falla si trova nel gestore openvpn_cli del file /protocol.csp e permette, tramite il parametro file_id, l'esecuzione di comandi arbitrari sul dispositivo. Il punteggio CVSS è 10 su 10 e un exploit funzionante è già stato pubblicato. Se usi questo modello in azienda o a casa, conviene intervenire subito. Qui spiego cosa sapere e come muoverti.

Cosa è successo: la vulnerabilità CVE-2026-120279 in WAVLINK WN536AX6-A

Il problema riguarda il backend web del router (componente ioos). Nel gestore openvpn_cli raggiungibile su /protocol.csp con fname=net&opt=openvpn_cli&function=set, il parametro file_id inviato dall'utente non viene filtrato prima di essere concatenato in un comando di shell ed eseguito tramite popen(). Questo consente di iniettare comandi di sistema arbitrari.

La vulnerabilità è classificata come command injection autenticata, ma l'advisory segnala che sul dispositivo in configurazione di fabbrica è presente FirstLogin=1, cioè il login senza password. Questo rende l'autenticazione aggirabile: un attaccante ottiene un token valido con una singola richiesta non autenticata e poi lancia il payload. In pratica l'impatto è quello di una esecuzione di codice remoto con privilegi di root. Il produttore è stato contattato in anticipo rispetto alla divulgazione.

Chi è colpito: versioni vulnerabili di WAVLINK WN536AX6-A

Secondo l'advisory la vulnerabilità interessa il WAVLINK WN536AX6-A con firmware V260507, basato su OpenWrt 21.02, piattaforma MT7986, architettura aarch64. Altre versioni di firmware non sono indicate come testate: se usi una build diversa, va verificata sull'advisory del produttore e trattata come potenzialmente esposta fino a prova contraria.

Rientra in una serie di falle simili già segnalate su altri router WAVLINK. Se gestisci più dispositivi dello stesso vendor, verifica anche i modelli affini, ad esempio le note su WAVLINK WN579X3-D e WAVLINK WN553X1-B.

Quanto è grave: punteggio CVSS e sfruttamento

Il punteggio è CVSS 10, gravità critica, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Si legge così: attacco dalla rete (AV:N), complessità bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione dell'utente (UI:N), impatto che esce dallo scope del componente (S:C) e compromissione totale di riservatezza, integrità e disponibilità.

La vulnerabilità non risulta al momento nel catalogo CISA KEV tra quelle sfruttate attivamente, ma l'exploit è già pubblico e può essere usato. Un attaccante che riesce a sfruttarla ottiene una shell con privilegi di root: controllo completo del router, possibilità di intercettare e deviare il traffico, modificare il DNS, usare il dispositivo come punto di appoggio verso la rete interna.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con ordine, partendo dall'identificazione del dispositivo.

• Versione firmware: accedi al pannello di amministrazione del router e controlla modello e firmware nella sezione informazioni di sistema o stato. Se vedi WN536AX6-A con firmware V260507, sei nella configurazione indicata come vulnerabile.
• Login senza password: verifica se il router consente l'accesso al pannello senza inserire una password. La condizione FirstLogin=1 (login senza credenziali) è quella che rende la falla sfruttabile senza autenticazione reale.
• Esposizione su internet: controlla se l'interfaccia di amministrazione è raggiungibile dall'esterno. Dal firewall o dal router verifica che non ci sia port forwarding verso la porta di gestione e che l'amministrazione remota (remote management) sia disattivata. Da rete esterna puoi provare a raggiungere l'indirizzo IP pubblico sulle porte 80 e 443: se rispondono con il pannello del router, l'esposizione è concreta.
• Log e indicatori: controlla i log di sistema del router per richieste verso /protocol.csp con parametri opt=openvpn_cli e valori anomali in file_id (caratteri come apici, pipe, cancelletto). L'advisory mostra come proof of concept la creazione del file /get_shell: la presenza di file inattesi sul dispositivo è un segnale da non ignorare.

Come risolvere la vulnerabilità: patch e aggiornamento

La disponibilità di un firmware corretto non è indicata nelle fonti al momento. Va verificata direttamente sul sito del produttore nella sezione download e supporto del modello WN536AX6-A. Se WAVLINK ha rilasciato una build successiva alla V260507 che risolve la command injection in openvpn_cli, installala seguendo la procedura ufficiale di aggiornamento firmware.

Fino a quando non è disponibile o non hai applicato una patch confermata, il dispositivo va considerato vulnerabile e vanno adottate le mitigazioni descritte sotto. Non limitarti a cambiare la password del pannello: la falla è nell'elaborazione del parametro, non nelle credenziali, anche se disabilitare il login senza password elimina la parte più banale dello sfruttamento.

Cosa fare subito: mitigazioni e hardening

In attesa di un firmware correttivo, in ordine di priorità:

1. Togli l'amministrazione da internet: disattiva il remote management e rimuovi ogni port forwarding verso le porte di gestione del router. Il pannello deve essere raggiungibile solo dalla rete locale.
2. Imposta una password forte e disabilita il login senza password: elimina la condizione FirstLogin impostando credenziali robuste, così da chiudere il bypass di autenticazione.
3. Disattiva la funzione OpenVPN client se non la usi: se il gestore openvpn_cli non serve, disabilitarlo riduce la superficie di attacco.
4. Segmenta la rete: isola il router e i dispositivi connessi su una VLAN dedicata, limitando l'accesso verso i sistemi critici dell'azienda.
5. Valuta la sostituzione: per un router consumer esposto, con exploit pubblico e patch non confermata, in ambito aziendale è ragionevole pianificare la sostituzione con un apparato gestibile e aggiornabile.

Se usi questo router come endpoint VPN, rivedi l'architettura. Una VPN va costruita su componenti manutenuti e aggiornabili: ne ho parlato in come configurare una VPN sicura per PMI.

Se sospetti una compromissione: incident response e analisi forense

Se trovi file inattesi come /get_shell, processi anomali, modifiche al DNS o traffico non spiegabile, tratta il dispositivo come potenzialmente compromesso.

• Non spegnere e non resettare d'impulso: un reset cancella le tracce utili. Isola il router dalla rete, se possibile mantenendolo alimentato per preservare lo stato.
• Preserva log e configurazione: esporta i log disponibili e la configurazione prima di qualsiasi intervento.
• Acquisizione forense: dove la posta in gioco è alta (dati sensibili, obblighi contrattuali), una copia forense del dispositivo e dei log consente analisi e, se serve, uso probatorio.
• Ruota le credenziali: cambia le password dei servizi raggiungibili dalla rete servita dal router e verifica che non siano state create regole o account anomali.
• Valuta gli obblighi di notifica: in caso di violazione di dati personali possono esserci adempimenti ai sensi del GDPR.

Su questo mi occupo di analisi forense e incident response: ricostruzione dell'attacco, contenimento e messa in sicurezza.

Fonti ufficiali

• Advisory tecnico CVE-2026-120279 (WAVLINK WN536AX6-A, file_id / openvpn_cli)

Le versioni corrette e la disponibilità di una patch vanno sempre verificate sull'advisory e sul sito del produttore.

Un caso concreto

Uno studio professionale del Nord Lombardia usava un router consumer come gateway VPN per l'accesso da remoto, con amministrazione remota attiva per comodità. Durante un audit abbiamo trovato il pannello raggiungibile da internet e il login senza password. Non c'erano segni di compromissione, ma l'esposizione era quella tipica di questa classe di falle. Abbiamo chiuso l'accesso dall'esterno, imposto credenziali forti, segmentato la rete e pianificato la sostituzione dell'apparato con uno gestibile. Tempo di intervento ridotto, rischio neutralizzato prima che diventasse un incidente.

Domande frequenti

CVE-2026-120279 è sfruttata attivamente?

Al momento non risulta nel catalogo CISA KEV delle vulnerabilità sfruttate attivamente, ma un exploit è già pubblico e utilizzabile. Il rischio è concreto e va trattato come tale.

Basta mettere una password al router?

Impostare una password forte e disabilitare il login senza password chiude il bypass di autenticazione, ma la command injection resta nel codice. Serve comunque togliere l'esposizione da internet e, quando disponibile, applicare un firmware corretto.

Il mio router è un modello diverso, sono al sicuro?

Questa CVE riguarda il WN536AX6-A con firmware V260507. Falle analoghe sono state segnalate su altri router WAVLINK, quindi conviene verificare modello e firmware di ogni apparato e applicare le stesse mitigazioni.

Posso capire se il router è stato già violato?

Controlla file inattesi, modifiche al DNS, processi e regole anomale e i log per richieste sospette a /protocol.csp. In caso di dubbi, un'analisi forense dà una risposta affidabile.

Se gestisci questo router in azienda e vuoi verificare esposizione, mitigazioni e piano di sostituzione, scrivimi: ricevi un preventivo gratuito con risposta entro 24 ore oppure passa dai contatti per una prima valutazione.