CVE-2026-120344: command injection nel router WAVLINK WN551X3-A, come verificare e mitigare

È stata pubblicata CVE-2026-120344, una vulnerabilità di tipo OS command injection che colpisce il router WAVLINK WN551X3-A. Il difetto si trova nel gestore della CLI WireGuard del back-end web e permette l'esecuzione di comandi arbitrari da remoto con i privilegi di root. Il punteggio CVSS è 10, il massimo possibile, e un exploit è già stato reso pubblico. Se gestisci questo apparato in una rete aziendale o domestica, devi agire con priorità. Di seguito spiego cosa è noto, come capire se sei esposto e cosa fare subito.

Cosa è successo: la vulnerabilità CVE-2026-120344 in WAVLINK WN551X3-A

La vulnerabilità riguarda il componente che gestisce i gruppi di client WireGuard nel back-end web del router, implementato nel binario /bin/ioos. Il parametro group_name, controllato dall'utente, viene inserito senza filtri in un comando di sistema costruito tramite una stringa racchiusa tra apici singoli e poi eseguito tramite la funzione system(). Fornendo un valore del tipo che chiude l'apice e aggiunge un comando, un attaccante può uscire dalla stringa prevista e far eseguire comandi arbitrari dal sistema operativo. La classe di difetto è CWE-78 (OS Command Injection). L'advisory segnala che il produttore è stato contattato in fase iniziale.

Chi è colpito: versioni vulnerabili di WAVLINK WN551X3-A

Secondo i dati pubblicati è interessato il modello WAVLINK WN551X3-A (AX3000) con firmware M51X3_V251020-WO-182e965. Il sistema è basato su OpenWrt, architettura ARM aarch64 con libreria musl. Il componente vulnerabile è il back-end web CSP di WAVLINK, cioè /bin/ioos, che gira come root. L'advisory indica che questo difetto è un parente stretto di una injection analoga nel gestore OpenVPN CLI: stessa causa radice, gestore diverso. La disponibilità di un firmware corretto non risulta nota al momento e va verificata sul sito ufficiale WAVLINK.

Quanto è grave: punteggio CVSS e sfruttamento della vulnerabilità

Il punteggio CVSS è 10 (CRITICAL), con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. In pratica significa: attacco sfruttabile dalla rete (AV:N), complessità bassa (AC:L), nessun privilegio richiesto (PR:N) e nessuna interazione dell'utente (UI:N), con impatto alto su riservatezza, integrità e disponibilità e cambio di ambito (S:C). Un attaccante che sfrutta il difetto ottiene esecuzione di comandi arbitrari (RCE) con privilegi di root sul router.

L'advisory descrive due precondizioni di accesso: raggiungibilità in loopback o via SSRF del servizio ioos sulla porta 81, oppure il possesso di un token di sessione valido. Su un dispositivo con configurazione di fabbrica la password web predefinita è admin. Un exploit è già stato divulgato pubblicamente. CVE-2026-120344 non risulta al momento nel catalogo CISA KEV, ma la combinazione di CVSS 10 ed exploit pubblico impone una reazione rapida.

Come capire se sei esposto: verifica versione, esposizione e log

Procedi con alcuni controlli concreti.

• Modello e firmware: accedi all'interfaccia web del router e controlla la pagina di stato o informazioni di sistema. Verifica se il modello è WN551X3-A e se il firmware corrisponde a M51X3_V251020-WO-182e965 o versioni precedenti della stessa linea.
• Esposizione da internet: verifica che le porte di amministrazione 80 e 443 non siano raggiungibili dalla rete pubblica. Dall'esterno puoi provare a connetterti all'indirizzo IP pubblico sulle porte dell'interfaccia di gestione; se risponde, l'apparato è esposto e va isolato subito. Controlla anche eventuali regole di port forwarding o di gestione remota attive nella configurazione.
• Credenziali predefinite: se la password web è ancora admin o quella di fabbrica, considera il dispositivo potenzialmente compromesso e cambiala.
• Log e indicatori: controlla i log del router per accessi anomali all'interfaccia web, creazioni inattese di gruppi client WireGuard o OpenVPN, modifiche alla configurazione uci non riconducibili ad attività legittima, processi o utenti nuovi, regole firewall alterate e traffico in uscita verso destinazioni sconosciute.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La disponibilità di un firmware che corregga CVE-2026-120344 non risulta nota. Va verificata direttamente sulla sezione di supporto e download del sito ufficiale WAVLINK per il modello WN551X3-A. Se e quando il produttore rilascerà un firmware aggiornato, applicalo seguendo la procedura ufficiale, dopo aver salvato la configurazione e aver verificato l'integrità del file scaricato.

Finché non è disponibile una correzione, l'unica strada sicura è ridurre drasticamente la superficie di attacco con le mitigazioni della sezione successiva. Non esporre l'interfaccia di gestione a internet è la misura più efficace, perché il vettore principale richiede la raggiungibilità del servizio web.

Cosa fare subito: mitigazioni e hardening del router

In ordine di priorità:

1. Togli l'interfaccia di amministrazione da internet: disabilita ogni forma di gestione remota e il port forwarding verso le porte 80, 443 e 81 del router.
2. Limita l'accesso alla gestione: consenti l'amministrazione solo da reti interne fidate o da una VLAN dedicata, riducendo chi può raggiungere il servizio web.
3. Cambia le credenziali predefinite: sostituisci la password admin con una robusta e unica. Se il dispositivo era esposto, considera la configurazione come potenzialmente manomessa.
4. Segmenta la rete: isola gli apparati vulnerabili dai sistemi critici e dai dati aziendali. Su questo tema trovi spunti nella mia guida alla VPN WireGuard per PMI.
5. Valuta la sostituzione: se l'apparato è in produzione e non riceve aggiornamenti, pianifica la migrazione verso un dispositivo supportato. Questo difetto è parente di altre injection già pubblicate sui router WAVLINK, come CVE-2026-120196 su WN579X3-D.

Se sospetti una compromissione: incident response e analisi forense

Se trovi segni di accesso non autorizzato, non spegnere e non resettare il dispositivo prima di aver preservato le prove. Un riavvio o un ripristino di fabbrica cancella log e stato utili all'analisi. Documenta quanto osservi, isola l'apparato dalla rete scollegandolo dal traffico, preserva i log disponibili e, dove possibile, una copia della memoria e della configurazione. Poiché il difetto consente RCE come root, l'attaccante potrebbe aver modificato il firmware, aggiunto persistenza o usato il router come punto d'appoggio verso la rete interna: cambia le credenziali di tutti i servizi raggiungibili dal dispositivo.

Mi occupo di incident response e analisi forense con metodologia ripetibile e documentazione utilizzabile anche in sede legale. Se devi capire cosa è successo e contenere il danno, contattami prima di toccare l'apparato.

Fonti ufficiali

• Advisory tecnico CVE-2026-120344 (dettagli e proof of concept)

Verifica sempre eventuali aggiornamenti e la disponibilità di un firmware corretto sul sito ufficiale del produttore WAVLINK per il modello WN551X3-A.

Domande frequenti

CVE-2026-120344 è sfruttata attivamente?

Non risulta al momento nel catalogo CISA KEV, ma un exploit è già pubblico. Con CVSS 10 e nessun privilegio richiesto, va trattata come urgente.

Basta cambiare la password per essere al sicuro?

Riduce il rischio, ma il vettore principale passa dalla raggiungibilità del servizio web. La misura più efficace è non esporre l'interfaccia di gestione a internet e segmentare la rete.

Esiste un firmware corretto?

La disponibilità non risulta nota. Va verificata sul sito ufficiale WAVLINK. Nel frattempo applica le mitigazioni descritte.

Il mio router è un altro modello WAVLINK, sono al sicuro?

Questo difetto riguarda il WN551X3-A, ma injection analoghe hanno colpito altri modelli WAVLINK. Verifica sempre firmware ed esposizione del tuo apparato.

Se gestisci reti aziendali con apparati di questo tipo e vuoi una verifica indipendente dell'esposizione e delle configurazioni, posso aiutarti con un audit mirato. Richiedi un preventivo gratuito: rispondo entro 24 ore.