Siber güvenlik dünyasında endişe verici bir gelişme yaşandı. Carnegie Mellon Üniversitesi'nin Yazılım Mühendisliği Enstitüsü bünyesindeki ABD hükümeti destekli siber güvenlik kuruluşu CERT Coordination Center (CERT/CC), Tenda marka ağ cihazlarında ciddi bir yazılım açığını ortaya çıkardı. 6 Temmuz'da duyurulan bu güvenlik zafiyeti, saldırganlara birçok Tenda ağ cihazı üzerinde tam idari kontrol imkanı tanıyor.
CVE-2026-11405 olarak takip edilen bu güvenlik açığı, etkilenen modellerin yazılımındaki belgelenmemiş bir kimlik doğrulama arka kapısı olarak tanımlanıyor. Bu arka kapı, normal giriş sürecini atlayarak cihazların yönetim arayüzüne geçerli kimlik bilgileri olmadan erişim sağlıyor. Durumu daha da vahim hale getiren ise, güvenlik yaması henüz mevcut değil. Zira Shenzhen merkezli ve Türkiye dahil birçok pazarda geniş bir kullanıcı kitlesine sahip bütçe dostu ağ ürünleri markası Tenda, CERT/CC'nin konuya dair iletişimi sonrasında henüz bir yanıt vermedi.
CERT/CC tarafından paylaşılan bilgilere göre, FH1201, W15E, AC10, AC5 ve AC6 router ailelerini kapsayan beş farklı yazılım sürümü bu açıktan etkileniyor. Güvenlik açığını bulan anonim bir araştırmacıya atıfta bulunulan uyarıda, bu listenin tam kapsamlı olmadığı da belirtiliyor. Araştırmacının CERT/CC'ye bildirdiği belirli yazılım sürümlerini kapsayan bu liste, üretici tarafından doğrulanmış bir kapsamı temsil etmiyor.
Uyarıya göre, güvenlik açığı router'ların dahili web sunucusunda bulunuyor. Burada yer alan belgelenmemiş bir kimlik doğrulama rutini, yapılandırılmış yönetici şifresi gerektirmeden idari erişime olanak tanıyor.
Birçok tüketici router'ında olduğu gibi Tenda cihazları da Wi-Fi ayarlarını yapılandırmak, güvenlik duvarı kurallarını belirlemek, DNS sunucularını değiştirmek, yazılım güncellemelerini yönetmek, port yönlendirme yapmak, ebeveyn denetimleri gibi temel ağ özelliklerini düzenlemek için şifre korumalı bir web yönetim arayüzü sunar. Bu arayüzler, bir router'ın operasyonlarının çoğunu kontrol ettiği için, genellikle yetkisiz kullanıcıların tüm ev veya iş ağını tehlikeye atabilecek değişiklikler yapmasını önlemek üzere tasarlanmış kimlik doğrulama mekanizmalarıyla korunur.
Yapılan incelemeye göre, etkilenen yazılım ilk olarak beklendiği gibi kimlik doğrulaması yaparak standart MD5 tabanlı bir kontrol ile yönetici şifresini doğruluyor. Ancak, bu doğrulama başarısız olduğunda, giriş rutini sessizce ikinci, belgelenmemiş bir kod yolunu izliyor. Giriş denemesini hemen reddetmek yerine, yazılım yapılandırma anahtarı sys.rzadmin.password altında saklanan başka bir şifreyi alıp, standart C kütüphanesi fonksiyonu strcmp() kullanarak kullanıcı tarafından sağlanan şifre ile karşılaştırıyor.
Sağlanan şifre bu gizli değerle eşleşirse, yazılım derhal tam yetkilere sahip geçerli bir yönetici oturumu oluşturuyor. Daha da endişe verici olanı, ilgili kullanıcı adı asla doğrulanmıyor, yani gizli şifre sağlandığı sürece herhangi bir kullanıcı adı kullanılabilir. Sonuç olarak, bu mekanizma router'ın yapılandırılmış yönetici hesabını tamamen etkisiz hale getiriyor.
CERT/CC gizli şifrenin kendisini açıklamasa da, belgelenmemiş ikincil bir kimlik doğrulama yolunun varlığı, etkilenen cihazların güvenlik modelini önemli ölçüde zayıflatıyor. Geleneksel kimlik doğrulama zafiyetlerinin uygulama hatalarından kaynaklanmasının aksine, bu mevcut yoldaki bir kusurdan ziyade ayrı bir giriş yoludur ve yönetici arayüzünde belgelenmemiş veya görünmeyen kimlik bilgileri aracılığıyla idari erişim sağlar. Bu yolun kasıtlı olarak konulup konulmadığı veya unutulmuş bir geliştirme özelliği olarak mı kaldığı ise belirsizliğini koruyor. CERT/CC niyet hakkında herhangi bir sonuca varmıyor ve Tenda'nın sessizliği de belirsizliği gidermiyor.
Başarılı bir şekilde istismar edildiğinde, saldırganlar router'ın yapılandırması üzerinde sınırsız kontrol elde edebilir. Yönetici erişimiyle bir saldırgan ağ ayarlarını değiştirebilir, internet trafiğini yönlendirmek için DNS sunucularını değiştirebilir, güvenlik korumalarını devre dışı bırakabilir, yönetici kimlik bilgilerini değiştirebilir veya ek uzaktan erişim özellikleri etkinleştirebilir. Router'lar yerel cihazlar ve internet arasındaki ağ geçidi görevi gördüğünden, bir router'ın tehlikeye girmesi, ağdaki bağlı tüm sistemleri daha fazla saldırıya açık hale getirebilir.
Resmi Tenda yazılım güncellemeleri beklenirken, CERT/CC saldırganların yönetim arayüzüne internet üzerinden erişmesini önlemek için mümkün olan her durumda uzaktan web yönetimini devre dışı bırakmayı öneriyor. Kuruluş ayrıca yerel ağ maruziyetini sınırlamayı da tavsiye ediyor. Router'ın varsayılan LAN IP adresini değiştirmenin otomatik tarama araçları tarafından fırsatçı keşfi azaltabileceğini, ancak kararlı saldırganların hedefli ağ keşiflerine karşı koruma sağlamadığını belirtiyor.
Bu durum, Federal İletişim Komisyonu'nun (FCC) Mart ayında belirli yabancı menşeli ağ ürünlerini Kapsam Dışı Listesine eklerken dile getirdiği endişelerle örtüşüyor. Bu karar, ABD'de ithalat ve satış için gerekli yetkilendirmeyi almalarını engelliyor. FCC, ele geçirilen tüketici router'larının saldırganlara ev ve küçük işletme ağlarına giriş noktası sağlayabileceği argümanını dile getirmişti. Yaygın olarak satılan ağ ekipmanlarındaki belgelenmemiş bir yönetici arka kapısı, satıcı yaması veya yanıtının olmamasıyla birleştiğinde, düzenleyicilerin ele almak istediği tedarik zinciri güvenlik riskinin türünü açıkça ortaya koyuyor.
