CVE-2026-4960 : Buffer Overflow dans Tenda AC6 (<=15.03.05.16)

Une vulnérabilité critique a été identifiée dans le routeur Tenda AC6, version 15.03.05.16, répertoriée sous le nom de CVE-2026-4960. Cette faille de sécurité se trouve dans la fonction fromWizardHandle du fichier /goform/WizardHandle, concernant plus précisément le traitement des requêtes POST. Un attaquant distant peut exploiter cette vulnérabilité en manipulant l'argument WANT/WANS, ce qui peut entraîner un débordement de tampon sur la pile. La gravité de cette vulnérabilité est élevée (CVSS 8.8), indiquant un risque de sécurité important pour les appareils concernés. La divulgation publique de la vulnérabilité augmente le risque d'exploitation, car les attaquants ont désormais accès à des informations sur la manière de l'exploiter. Cette vulnérabilité pourrait permettre à un attaquant de prendre le contrôle du routeur, de compromettre le réseau auquel il est connecté et d'accéder à des données sensibles.

1. Réservé2026-03-27
2. Publiée2026-03-27
3. EPSS mis à jour2026-04-04

Actuellement, il n'existe aucun correctif (fix) officiel fourni par Tenda pour CVE-2026-4960. L'atténuation la plus efficace consiste à mettre à jour le micrologiciel du routeur vers une version ultérieure qui corrige cette vulnérabilité, si disponible. En attendant, il est recommandé de mettre en œuvre des mesures de sécurité supplémentaires, telles que modifier le mot de passe par défaut du routeur en un mot de passe fort et unique, désactiver l'accès distant au routeur si cela n'est pas nécessaire et maintenir le micrologiciel à jour vers la dernière version disponible (bien que cela ne corrige pas CVE-2026-4960, cela peut corriger d'autres vulnérabilités). Surveiller le trafic réseau à la recherche d'une activité suspecte peut également aider à détecter et à prévenir les attaques. Envisagez de remplacer le routeur Tenda AC6 par un modèle plus sécurisé avec un support de mises à jour de sécurité en cours.