Критическая уязвимость CVE-2026-105110 в Iskratel Innbox: неаутентифицированное выполнение команд
В конце 2026 года исследователи безопасности сообщили о критической уязвимости в GPON-устройствах Iskratel Innbox. Проблема затрагивает веб-интерфейс управления устройством и позволяет злоумышленнику получить полный контроль над оборудованием без какой-либо аутентификации.
Подробности
Уязвимость получила идентификатор CVE-2026-105110 и оценку CVSS 9.8 (CRITICAL). Её тип — OS Command Injection (внедрение команд операционной системы) в CGI-эндпоинте login.xgi GPON ONT-устройств Iskratel Innbox.
Причина проблемы — недостаточная проверка пользовательского ввода, передаваемого через параметр CLI. Атакующий может сформировать специально crafted HTTP-запрос к эндпоинту login.xgi и внедрить в значение параметра CLI произвольные команды оболочки. Поскольку эндпоинт не требует предварительной аутентификации, эксплуатация возможна удалённо по сети, а внедрённые команды выполняются с привилегиями root.
Уязвимости подвержены GPON ONT-устройства Iskratel Innbox. Точный перечень затронутых версий прошивок в записи CVE не указан, поэтому операторам и абонентам следует ориентироваться на официальные рекомендации производителя. Учитывая профиль устройств (оптические терминалы, устанавливаемые у конечных абонентов), успешная эксплуатация даёт атакующему полный контроль над устройством: перехват и модификацию трафика, изменение конфигурации, использование устройства как точки входа во внутреннюю сеть.
Что делать
- Обратиться к производителю Iskratel за информацией о наличии исправленной прошивки и обновить устройство до рекомендованной версии.
- Если обновление недоступно — ограничить доступ к веб-интерфейсу управления устройством: отключить удалённое администрирование со стороны WAN, оставив управление только из доверенного сегмента LAN.
- Заблокировать доступ к эндпоинту
login.xgiиз внешних сетей на уровне межсетевого экрана или средствами провайдера. - Изолировать управляющий интерфейс устройств в отдельный VLAN с ограниченным доступом.
- Вести мониторинг подозрительных HTTP-запросов к
login.xgiи аномальной активности на устройствах Innbox.
Критичность уязвимости максимально высокая: она не требует аутентификации, эксплуатируется удалённо и приводит к выполнению команд с правами root. Учитывая массовость абонентских GPON-терминалов, риск масштабных компрометаций особенно велик. Приоритет — как можно быстрее получить исправление от вендора и закрыть доступ к интерфейсу управления из недоверенных сетей.
Источник: CVE Project (cvelistV5)