Критическая уязвимость CVE-2026-109110 в Wavlink WL-WN592AX6 позволяет удалённо выполнить команды ОС

Исследователи безопасности сообщили о критической уязвимости в беспроводном маршрутизаторе Wavlink WL-WN592AX6, которая получила идентификатор CVE-2026-109110 и оценку CVSS 10.0 — максимально возможный балл. Уязвимость уже имеет опубликованный эксплойт, что делает её практически значимой угрозой для всех, кто использует указанное устройство.

Подробности

Уязвимость затрагивает Wavlink WL-WN592AX6 версии 250422. Проблема локализована в функции system компонента wmapd Daemon. Из-за недостаточной проверки входных данных злоумышленник может внедрить команды операционной системы и выполнить их на устройстве.

Согласно описанию, атаку можно провести удалённо, то есть без физического доступа к маршрутизатору. Это существенно расширяет круг потенциальных атакующих: уязвимое устройство, доступное по сети, может быть скомпрометировано из любой точки интернета. Оценка CVSS 10.0 указывает на наивысшую степень опасности — сочетание удалённого вектора, низкой сложности эксплуатации и полного влияния на конфиденциальность, целостность и доступность системы.

Дополнительным фактором риска является наличие публичного эксплойта. Это означает, что злоумышленникам не требуется разрабатывать собственный инструмент атаки — достаточно воспользоваться уже опубликованным кодом. Производитель был уведомлён об уязвимости на раннем этапе раскрытия информации.

Что делать

На момент публикации записи CVE информация о выпуске официального патча отсутствует. Владельцам Wavlink WL-WN592AX6 рекомендуется:

• проверить сайт производителя и обновить прошивку устройства до актуальной версии, если исправление станет доступно;
• ограничить сетевой доступ к интерфейсу управления маршрутизатором — не выставлять его в интернет и закрыть доступ из недоверенных сегментов сети;
• по возможности отключить или изолировать демон wmapd, если он не используется;
• рассмотреть замену устройства на модель, получающую регулярные обновления безопасности, если патч так и не выйдет;
• отслеживать официальные уведомления Wavlink и записи в базе CVE для получения информации об исправлении.

В качестве временной меры можно также сегментировать сеть, чтобы уязвимое устройство не имело доступа к критичным внутренним ресурсам.

Итог: CVE-2026-109110 — максимально опасная уязвимость удалённого выполнения команд в Wavlink WL-WN592AX6. Наличие публичного эксплойта и отсутствие подтверждённого патча требуют от владельцев немедленных действий по снижению риска: изоляции устройства, ограничению доступа к его интерфейсам и мониторингу обновлений прошивки.

Источник: CVE Project (cvelistV5)