Критическая уязвимость переполнения стека в D-Link DIR-823G (CVE-2026-90680)
В начале 2026 года в открытых источниках появилась информация о новой критической уязвимости, затрагивающей популярный маршрутизатор D-Link DIR-823G. Проблема получила идентификатор CVE-2026-90680 и оценку CVSS 9.4 из 10, что соответствует максимальному уровню критичности. Уязвимость относится к классу переполнения буфера в стеке и может быть использована злоумышленником удалённо.
Подробности
Уязвимость затрагивает устройство D-Link DIR-823G версии прошивки 1.0.2B05_20181207. Проблемный участок кода находится в компоненте HNAP1 — в функции strcpy, обрабатывающей запросы к /HNAP1/SetStaticRouteSettings. При передаче специально сформированных значений в параметры PAddress, SubnetMask или Gateway происходит копирование данных в стековый буфер без проверки длины. Это приводит к переполнению стека и потенциальному выполнению произвольного кода.
Согласно описанию, атаку можно провести удалённо — злоумышленнику не требуется физический доступ к устройству или предварительная аутентификация. Успешная эксплуатация позволяет нарушить работу маршрутизатора, получить контроль над устройством или использовать его как точку входа во внутреннюю сеть. Особую опасность представляет тот факт, что модель DIR-823G широко используется в качестве домашнего и малого офисного оборудования.
На момент публикации записи CVE информация о наличии публичного эксплойта в открытых источниках не подтверждена, однако критичность проблемы и простота удалённого запуска делают её приоритетной для устранения.
Что делать
- Обновить прошивку. Проверьте наличие новой версии ПО на официальном сайте D-Link. Если производитель выпустил патч — установите его незамедлительно.
- Ограничить доступ к HNAP1. Если обновление недоступно, запретите доступ к интерфейсу
/HNAP1/из внешней сети с помощью правил межсетевого экрана или отключения удалённого администрирования. - Отключить удалённое управление. Убедитесь, что функция WAN-администрирования отключена, а маршрутизатор не доступен из интернета.
- Рассмотреть замену устройства. Если прошивка не поддерживается производителем и патч не выпущен, рекомендуется заменить маршрутизатор на актуальную модель с поддержкой обновлений безопасности.
- Мониторинг. Проверяйте логи устройства на предмет подозрительных запросов к HNAP1 и аномальной активности.
Уязвимость CVE-2026-90680 — серьёзная угроза для владельцев D-Link DIR-823G. Учитывая высокий балл CVSS и удалённый характер эксплуатации, меры по защите следует принять как можно быстрее. В первую очередь необходимо проверить наличие обновлений прошивки и ограничить сетевой доступ к уязвимому интерфейсу.
Источник: CVE Project (cvelistV5)