1 i 2 listopada 2026 roku opublikowano siedem podatności typu wstrzykiwanie poleceń systemowych w routerach, modułach sieci kratowej i punktach dostępowych WAVLINK. Wszystkie zgłosiła baza VulDB, każda ma na GitHubie opis z dowodem koncepcji (sześć z siedmiu opisał badacz podpisujący się pipiyyb), a każdy rekord stwierdza, że kod ataku jest publicznie dostępny. Według rekordów z WAVLINK skontaktowano się wcześnie, przed ujawnieniem. Żaden z nich nie wspomina o poprawionym oprogramowaniu.

Których modeli to dotyczy

Rekordy CVE przy każdej luce podają konkretny model i wersję oprogramowania:

  • CVE-2026-120195: WL-WN579A3-A, kompilacja 2026-03-10-94f93d4. Pole wlan_ssid w kreatorze pierwszej konfiguracji (set_wzdgwMesh w /cgi-bin/adm.cgi).
  • CVE-2026-120196: WN579X3-D V250402. Pole Name w funkcji przekierowania portów w /cgi-bin/wapi.cgi.
  • CVE-2026-120197: WL-WN530HG4B M_V260724. To samo pole Name przy przekierowaniu portów.
  • CVE-2026-120198: WL-WN530BE1-A V251117. Argumenty group_name i IP-FROM w /protocol.csp.
  • CVE-2026-120227: WN701AE M01AE_V260105. Argument rule_name przy usuwaniu trasy statycznej.
  • CVE-2026-120228: WN553X1-B V260403_2.0.0. Argumenty group_id i group_name w usłudze ioos.
  • CVE-2026-120280: WN536AX6-A V260507. Te same argumenty w obsłudze grup klienta WireGuard w /protocol.csp.

We wszystkich przypadkach tekst wysłany przez interfejs WWW trafia do polecenia systemowego, więc atakujący, który dotrze do tego interfejsu, może uruchamiać na urządzeniu własne polecenia. VulDB, która nadała numery CVE, ocenia trzy z nich (CVE-2026-120195, CVE-2026-120198 i CVE-2026-120280) na 10,0 w skali CVSS 3.1, a wektor ataku nie wymaga logowania. Pozostałe cztery dostały 9,9, co według wektora VulDB oznacza, że atakujący potrzebuje konta z niskimi uprawnieniami. To słaba pociecha przy urządzeniach, w których nikt nie zmienił hasła administratora.

Dlaczego to dotyczy inteligentnego domu

Router albo moduł sieci kratowej to urządzenie, przez które łączy się każde gniazdko Wi-Fi, kamera i czujnik. Kto uruchamia na nim polecenia, może podglądać albo przekierowywać ten ruch, dostać się do urządzeń, które miały zostać w sieci lokalnej, albo na dłużej zagnieździć się w domowej sieci. Szczególnie groźna jest luka w kreatorze konfiguracji, bo nowe albo zresetowane urządzenia stoją w nim, zanim ktokolwiek ustawi hasło.

Co mogą zrobić właściciele

Skoro poprawki nie ma, możliwości są ograniczone:

  • Sprawdź na stronach wsparcia WAVLINK, czy dla danego modelu jest nowsze oprogramowanie, i zainstaluj je, gdy się pojawi.
  • Wyłącz zdalne zarządzanie, żeby panel administracyjny nie był dostępny z internetu.
  • Zmień domyślne hasło administratora i nie udostępniaj tego konta innym.
  • Nowe albo zresetowane urządzenie od razu przeprowadź przez kreator konfiguracji, najlepiej z odłączonym kablem WAN.
  • Jeśli model nadal nie dostanie poprawki, przenieś go do osobnej części sieci bez wrażliwych urządzeń albo wymień.