Les 1er et 2 novembre 2026, NVD a reçu 22 CVE critiques visant des routeurs et points d'accès. 18 concernent WAVLINK, sur sept modèles, dont douze sur deux seuls équipements : le WN536AX6-A et le WN553X1-B. S'y ajoutent le Linksys E8450, le D-Link DIR-505 et deux nouvelles failles sur l'Oray Pugongying X5 Pro.
Toutes ont été déposées par VulDB (CNA) et sont en statut NVD Received : aucune analyse NIST, aucune configuration CPE, aucune version corrigée. Pour 21 d'entre elles, la description indique que l'exploit a été rendu public. Aucune n'est au catalogue CISA KEV à la date de rédaction.
Ce qui frappe dans le lot WAVLINK, c'est la concentration : la plupart des failles passent par les fonctions VPN (gestionnaires OpenVPN et WireGuard) de l'interface d'administration.
WAVLINK WN536AX6-A — six CVE
Firmware cité : V260507 (V260507_2.0.0 pour deux entrées).
| CVE | Point d'entrée | Paramètre | Faille | Authentification | CVSS 3.1 (VulDB) |
|---|---|---|---|---|---|
| CVE-2026-120281 | /protocol.csp, gestionnaire OpenVPN | openvpn_ip | Débordement de pile (CWE-121) | aucune | 10.0 |
| CVE-2026-120280 | /protocol.csp, wireguard_cli_group | group_id / group_name | Injection de commande (CWE-78) | aucune | 10.0 |
| CVE-2026-120279 | /protocol.csp, gestionnaire openvpn_cli | file_id | Injection de commande (CWE-78) | aucune | 10.0 |
| CVE-2026-120277 | /bin/ioos, groupe WireGuard CLI | group_name | Injection de commande (CWE-78) | aucune | 10.0 |
| CVE-2026-120276 | /bin/ioos, interface web | group_name | Injection de commande (CWE-78) | aucune | 10.0 |
| CVE-2026-120282 | /protocol.csp, host_black | mac | Injection de commande (CWE-78) | requise | 9.9 |
Cinq des six sont notées sans authentification (PR:N). Plusieurs entrées décrivent des chemins très proches (le paramètre group_name du groupe WireGuard revient trois fois, vu tantôt depuis /protocol.csp, tantôt depuis le binaire /bin/ioos) : il est possible que certaines se recoupent. C'est une hypothèse, NVD les traite comme des failles distinctes.
WAVLINK WN553X1-B — six CVE
Firmware cité : V260403_2.0.0. Toutes dans le binaire /bin/ioos.
| CVE | Composant | Paramètre | Authentification | CVSS 3.1 (VulDB) |
|---|---|---|---|---|
| CVE-2026-120240 | Groupe WireGuard CLI | group_id / group_name | requise | 9.9 |
| CVE-2026-120239 | WireGuard CLI | file_id | requise | 9.9 |
| CVE-2026-120238 | Gestionnaire ovpn_file | file_id | requise | 9.9 |
| CVE-2026-120231 | OpenVPN CLI | file_id | requise | 9.9 |
| CVE-2026-120228 | Service ioos | group_id / group_name | requise | 9.9 |
| CVE-2026-120229 | fonction sub_416B50 | file_id | privilèges élevés | 9.1 |
Toutes sont des injections de commandes système (CWE-78), mais toutes exigent une session sur l'interface : PR:L pour cinq d'entre elles, PR:H pour la sixième.
Autres modèles WAVLINK — six CVE
| CVE | Modèle | Firmware cité | Point d'entrée | Paramètre | Authentification | CVSS 3.1 (VulDB) |
|---|---|---|---|---|---|---|
| CVE-2026-120195 | WL-WN579A3-A | 2026-03-10-94f93d4 | /cgi-bin/adm.cgi, set_wzdgwMesh (assistant d'installation) | wlan_ssid | aucune | 10.0 |
| CVE-2026-120198 | WL-WN530BE1-A | V251117 | /protocol.csp, con_check_read_finish | group_name / IP-FROM | aucune | 10.0 |
| CVE-2026-120230 | WN701AE | 260105 | backend web ioos, del_vlan_group | vlan_name | requise | 9.9 |
| CVE-2026-120227 | WN701AE | M01AE_V260105 | static_route_setting.sh, del_staticrule | rule_name | requise | 9.9 |
| CVE-2026-120197 | WL-WN530HG4B | M_V260724 | /cgi-bin/wapi.cgi, port_forward | Name | requise | 9.9 |
| CVE-2026-120196 | WN579X3-D | V250402 | /cgi-bin/wapi.cgi, port_forward | Name | requise | 9.9 |
Le cas du WL-WN579A3-A mérite une mention : l'injection passe par le nom du réseau Wi-Fi saisi dans l'assistant d'installation initiale, sans authentification selon le vecteur.
Le WL-WN530BE1-A n'en est pas à sa première injection de commande : il figurait déjà dans notre point du 13 octobre sur les routeurs Netcore et Wavlink.
Linksys E8450 — CVE-2026-120283
Vecteur : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)
Débordement de pile dans /www/cgi-bin/portal.cgi : un appel à strcpy recopie le paramètre hidden_timezone sans contrôle de longueur. Firmware cité : 1.2.00.360516. La description précise que Linksys, contacté en amont, n'a pas répondu. C'est la seule entrée du lot qui ne mentionne pas d'exploit public.
D-Link DIR-505 — CVE-2026-120189
Vecteur : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)
Le défaut n'est pas dans l'interface web mais dans le serveur TFTP du routeur de voyage (/usr/bin/tftpd) : le nom de fichier envoyé lors d'un upload (fonctions save_upload_file et mp_upload_file) provoque un débordement de pile. Firmware cité : 1.10B02. Une preuve de concept est publiée sur GitHub.
Oray Pugongying X5 Pro — CVE-2026-120224 et CVE-2026-120225
Deux failles sur le firmware jusqu'à 7.6.1, après les trois injections CRLF de fin octobre. Oray n'a pas répondu à VulDB.
- CVE-2026-120224 (9.9, authentification requise) : contrôle d'autorisation incorrect dans
run_apis_by_json/run_async_task. D'après le titre du rapport référencé, un compte restreint peut déclencher une réinitialisation d'usine via l'API JSON par lots. - CVE-2026-120225 (9.1, privilèges élevés) : traversée de répertoire dans
config_restore_ex, via le paramètrefilenamede la restauration de configuration. Le titre du rapport référencé parle d'exécution de code en root.
Ce qu'impliquent ces failles
Sur ces firmwares, les services web et CGI tournent généralement avec les privilèges maximaux : une injection de commande donne en pratique le contrôle complet de l'équipement. C'est ce que traduit le S:C de tous les vecteurs VulDB.
Pour les entrées notées PR:L, l'attaquant doit disposer d'une session sur l'interface. Sur un routeur grand public, cela se résume souvent au mot de passe d'administration, parfois resté à sa valeur d'usine. Pour celles notées PR:N, il suffit de joindre l'interface.
Exploits publics, aucun correctif dans NVD, constructeurs silencieux ou peu réactifs : ces modèles sont des cibles naturelles pour les botnets qui recrutent des routeurs. C'est une déduction ; aucune exploitation n'est documentée dans ces entrées.
Versions affectées
NVD ne fournit aucune configuration CPE ni version corrigée pour ces 22 CVE. Chaque description cite un seul build de firmware (Oray : jusqu'à 7.6.1). Les autres versions ne sont pas déclarées saines pour autant : elles n'ont simplement pas été testées.
Vérifie la page support de chaque modèle chez WAVLINK, Linksys, D-Link et Oray. Un équipement en fin de vie ne recevra probablement jamais de correctif.
Détection
- Inventaire : rechercher ces modèles sur le réseau, y compris dans les bureaux distants, les domiciles des télétravailleurs et les salles de réunion.
- Exposition : vérifier qu'aucune interface d'administration n'est joignable depuis Internet, et qu'aucun service TFTP n'est ouvert sur le DIR-505.
- Journaux, quand ils existent : requêtes vers
/protocol.csp,/cgi-bin/wapi.cgi,/cgi-bin/adm.cgi(WAVLINK) ou/www/cgi-bin/portal.cgi(Linksys) avec des caractères de commande shell ou des valeurs anormalement longues. - Comportement : trafic sortant inhabituel depuis l'équipement, configuration VPN ou DNS modifiée, redémarrages inexpliqués.
Mitigation
- Désactiver l'administration à distance sur tous ces équipements.
- Désactiver les fonctions VPN (OpenVPN, WireGuard) des modèles WAVLINK si elles ne servent pas.
- Changer les mots de passe d'usine : plus de la moitié des failles du lot exigent une session.
- Isoler les équipements qui ne peuvent pas être mis à jour dans un segment sans accès aux postes et aux serveurs.
- Remplacer les modèles sans firmware corrigé. Un routeur grand public n'a rien à faire dans le réseau d'une entreprise.
Pourquoi surveiller en continu tes équipements réseau
Ces 22 CVE ne sont rattachées à aucun CPE : une veille qui ne s'appuie que sur les correspondances CPE ne les verra pas. Il faut aussi chercher par nom de produit.
Avec cveo.tech, inventorie tes routeurs et points d'accès avec leur modèle exact, et reçois une alerte dès qu'une CVE les cite, même quand NVD ne l'a pas analysée.