Компания Zyxel рекомендует купить новые роутеры взамен старых, имеющих уязвимости
Изображение: Jonathan (unsplash)
Компания Zyxel опубликовала уведомление о наличии уязвимостей в линейке маршрутизаторов CPE, которые уже не поддерживаются. В документе подчёркивается, что исправления выпущены не будут, а пользователям настоятельно рекомендуется заменить устаревшие модели на актуальные устройства.
Специалисты VulnCheck выявили эти уязвимости в июле 2024 года, но лишь на прошлой неделе команда GreyNoise зафиксировала случаи их реального использования злоумышленниками. По данным FOFA и Censys, более полутора тысяч маршрутизаторов этой серии остаются подключёнными к сети, что делает их привлекательной целью для атак.
В отчёте VulnCheck представлены все детали о найденных брешах, которые позволяют злоумышленникам получить начальный доступ к инфраструктуре. Уязвимости получили идентификаторы CVE-2024-40891 и CVE-2025-0890.
Компания Zyxel в своём последнем заявлении подтвердила, что проблемы безопасности, выявленные VulnCheck, касаются нескольких моделей, давно снятых с производства. Представители компании отметили, что эти устройства уже несколько лет не поддерживаются и подлежат замене на более современные решения.
В частности, в список устаревших моделей входят VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 и SBG3500. В компании подчеркнули, что использование этих устройств создаёт угрозу безопасности, поэтому владельцам рекомендуется переходить на оборудование нового поколения.
Кроме того, в отчёте упоминается ещё одна уязвимость — CVE-2024-40890, связанная с возможностью выполнения команд после аутентификации. Она имеет сходные характеристики с CVE-2024-40891.
Любопытный момент заключается в том, что, по версии Zyxel, представители компании неоднократно запрашивали у VulnCheck подробное техническое описание уязвимостей ещё с июля прошлого года, но так и не получили ответ. Вместо этого исследователи кибербезопасности опубликовали отчёт, не уведомив компанию заранее.
