CERT/CC cảnh báo backdoor quản trị ẩn trong firmware router Tenda (CVE-2026-11405)
"CERT/CC reported a hidden administrative backdoor in multiple Tenda router firmware versions, tracked as CVE-2026-11405. The flaw in the /bin/httpd login path can bypass normal password verification and grant full admin access without valid credentials, enabling remote configuration changes and potential device takeover; no patch was available at the time of reporting."
Nguy cơ cao do bypass xác thực và cấp quyền quản trị từ xa: CVE-2026-11405 có thể dẫn tới thay đổi cấu hình trái phép, vô hiệu hóa kiểm soát bảo mật và chiếm quyền thiết bị.
Có thể gây gián đoạn vận hành mạng và tăng chi phí xử lý sự cố nếu thiết bị bị khai thác: tắt remote management và đổi LAN IP mặc định giúp giảm rủi ro truy cập trái phép.
CERT/CC cho biết nhiều phiên bản firmware router Tenda có chứa cơ chế xác thực ẩn, cho phép truy cập quản trị vào web management interface mà không cần thông tin đăng nhập hợp lệ. Lỗ hổng được theo dõi là CVE-2026-11405.
Theo thông báo, backdoor nằm trong hàm login() của nhị phân /bin/httpd. Luồng xử lý ban đầu đi theo cơ chế xác thực thông thường với kiểm tra mật khẩu dựa trên MD5, nhưng sẽ kích hoạt nhánh thay thế khi xác thực thất bại. Nhánh này gọi GetValue("sys.rzadmin.password") để lấy mật khẩu dự phòng từ cấu hình, sau đó so sánh mật khẩu do người dùng cung cấp với giá trị lưu trong thiết bị theo dạng so sánh chuỗi plaintext.
CERT/CC nhấn mạnh tài khoản "rzadmin" không được kiểm tra hợp lệ, nên chỉ cần ghép đúng mật khẩu backdoor là có thể đạt quyền quản trị (role=2) và tạo phiên có đặc quyền. Cơ chế này không được công bố trong giao diện quản trị.
Tại thời điểm báo cáo, chưa có bản vá. Khuyến nghị kỹ thuật: tắt remote management, đổi LAN IP mặc định để giảm khả năng bị quét dò tự động và hạn chế bề mặt tấn công.