В роутере D-Link DIR-822A обнаружены две критические уязвимости, получившие идентификаторы CVE-2026-86296 и CVE-2026-86510. Первая связана с переполнением буфера и имеет максимальную оценку CVSS 10,0, вторая получила 9,9 по CVSS 3.1. Для обеих проблем опубликованы PoC, а D-Link пока продолжает расследование.
D-Link (рус. Д-Линк) — тайваньская торговая марка, производитель сетевого и телекоммуникационного оборудования, основанная в 1986 году в Тайване. До 1994 года компания называлась Datex Systems Inc.
Читать далееДве уязвимости затрагивают разные компоненты DIR-822A
D-Link расследует две критические уязвимости в двухдиапазонном Wi-Fi-роутере DIR-822A. Проблемы получили идентификаторы CVE-2026-86296 и CVE-2026-86510, а информация о них была представлена исследователем безопасности tian. Для обеих уязвимостей уже опубликованы демонстрационные варианты эксплойтов, поэтому производитель рекомендует владельцам устройств ограничить их доступность из интернета до завершения проверки.
Источник фото:
Первая проблема, CVE-2026-86296, связана с переполнением буфера в стеке компонента udhcpcd, отвечающего за работу DHCP. Ошибка возникает при обработке специально сформированных данных функцией strcpy в файле udhcpcd/serverpacket.c. Уязвимость может эксплуатироваться по сети без аутентификации и участия пользователя. CVE-2026-86296 получила оценку 10,0 по CVSS 3.1 и 10,0 по CVSS 4.0 — это максимальный уровень критичности. Успешная эксплуатация может привести к повреждению памяти и нарушить конфиденциальность, целостность или доступность устройства. D-Link также подтверждает наличие публичного PoC.
Вторая проблема, CVE-2026-86510, обнаружена в функции tunnel_set_params компонента L2TP Control Message Parser. Она относится к классу уязвимостей с записью за пределами выделенной области памяти. Для её эксплуатации требуется низкий уровень привилегий, однако атака может выполняться по сети без взаимодействия с пользователем. Для CVE-2026-86510 опубликованы оценки 9,9 по CVSS 3.1 и 9,4 по CVSS 4.0. Как и в случае с первой уязвимостью, публичный PoC уже доступен. Обе проблемы в настоящее время имеют статус Under Investigation, то есть D-Link ещё проверяет область воздействия и варианты устранения.
Источник фото:
По опубликованной производителем информации, в настоящее время подтверждённой считается версия DIR-822A A_101. D-Link дополнительно устанавливает затронутые аппаратные ревизии, региональные версии устройства и статус поддержки, а также выясняет, доступно ли подходящее обновление прошивки.
До окончания расследования D-Link рекомендует не предоставлять роутеру ненужный доступ из интернета и отключить удалённое администрирование, если оно не требуется. Производитель также советует ограничить административный доступ доверенными устройствами и следить за обновлениями безопасности для конкретной аппаратной ревизии.
Наличие публичных PoC повышает практическую значимость проблемы, однако D-Link в опубликованном уведомлении не сообщает об эксплуатации этих двух уязвимостей в реальных атаках. Производитель продолжает проверку и должен дополнительно определить, будет ли для затронутых устройств выпущена новая прошивка или потребуется иная мера устранения проблемы.
