Deux nouveaux routeurs grand public ou petite entreprise rejoignent la liste des équipements à surveiller : le Netcore NR268 et le Wavlink WL-WN530BE1-A. Les deux failles sont notées 9.9 et mènent, par deux mécanismes proches, à l'exécution de commandes sur le routeur.
Elles s'inscrivent dans une série que nous suivons depuis plusieurs semaines, notamment avec les failles Netcore, FAST et D-Link publiées fin septembre.
| CVE-2026-108929 | CVE-2026-109108 | |
|---|---|---|
| Équipement | Netcore NR268 | Wavlink WL-WN530BE1-A |
| Version citée par NVD | 1.7.121109 | 251117 |
| CVSS 3.1 | 9.9 (CRITICAL) | 9.9 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| Publication NVD | 2026-10-12 | 2026-10-13 |
| CISA KEV | non (à la date de rédaction) | non (à la date de rédaction) |
Ce que disent les deux vecteurs
Le vecteur est identique et mérite d'être lu en détail :
PR:L: il faut un accès authentifié de bas niveau à l'interface web. Sur un routeur, ça signifie souvent le mot de passe d'administration, parfois resté à sa valeur d'usine ou partagé.S:C: l'impact dépasse le composant vulnérable. Le service web sert de porte d'entrée, mais c'est le système du routeur qui exécute la commande.C:H/I:H/A:H: contrôle complet de l'équipement.
Le prérequis d'authentification n'est pas une protection solide sur ce type de matériel : identifiants par défaut, interface exposée côté WAN, absence de limitation des tentatives.
Netcore NR268 — CVE-2026-108929 : injection d'argument dans le DDNS
Executing a manipulation of the argument Hostname can lead to argument injection.
La fonction de DNS dynamique (DDNS) du NR268 transmet le nom d'hôte saisi dans l'interface à un programme système, sans le filtrer. Une injection d'argument permet alors de détourner l'appel et d'en modifier le comportement. NVD précise que l'attaque peut être lancée à distance.
Versions : NVD cite la version 1.7.121109 comme concernée, sans version corrigée. Je n'ai pas d'information sur un firmware correctif : vérifie le site de Netcore.
Wavlink WL-WN530BE1-A — CVE-2026-109108 : injection de commande dans l'upload VPN
The exploit has been disclosed publicly and may be used.
Le traitement du téléversement de configuration VPN passe un paramètre de la requête à un shell sans le neutraliser : injection de commande système classique. Deux mentions de NVD augmentent l'urgence : un exploit est public, et l'éditeur a été contacté en amont de la divulgation. NVD ne mentionne pas de réponse ni de correctif.
Versions : NVD cite la version 251117 comme concernée, sans version corrigée.
Pourquoi un routeur compromis pose problème
Un routeur pris en main est un point d'observation et de rebond idéal :
- interception et redirection DNS de tout le trafic du site
- pivot vers le réseau interne, derrière le pare-feu
- intégration à un botnet de proxys résidentiels ou de déni de service
- persistance sur un équipement que personne ne surveille
Dans une petite structure ou une agence distante, ce routeur est souvent le seul équipement de sécurité réseau.
Détection
- Configuration DDNS ou VPN modifiée sans intervention connue
- Serveurs DNS changés dans la configuration du routeur
- Connexions sortantes inhabituelles depuis l'adresse du routeur, visibles côté fournisseur ou sur un équipement en amont
- Sessions d'administration depuis des adresses externes, si le routeur journalise
- Redémarrages inexpliqués ou baisse de performance
Mitigation
- Couper l'administration côté WAN : l'interface web ne doit être accessible que depuis le réseau local, idéalement depuis un poste dédié.
- Changer le mot de passe d'administration pour un mot de passe unique et long. Sans identifiant valide,
PR:Lreste un obstacle. - Désactiver DDNS et VPN s'ils ne sont pas utilisés, pour fermer la fonction vulnérable.
- Surveiller les sites Netcore et Wavlink pour un firmware correctif, et l'appliquer dès sa sortie.
- Planifier le remplacement si aucun correctif n'arrive : un routeur sans suivi de sécurité n'a pas sa place en périphérie d'un réseau professionnel.
- En cas de doute : réinitialiser l'équipement aux paramètres d'usine, réinstaller le firmware depuis le site officiel et reconfigurer à la main, sans restaurer une sauvegarde potentiellement altérée.
Pourquoi surveiller en continu vos équipements réseau
Les routeurs de petite gamme reçoivent des CVE critiques chaque semaine, souvent sans correctif annoncé. Sans inventaire précis des modèles et versions de firmware, impossible de savoir lesquels sont concernés.
Avec cveo.tech, déclare tes routeurs avec leur modèle et leur version de firmware, et reçois une alerte dès qu'une CVE critique les touche.