D-Link opublikował biuletyn bezpieczeństwa SAP10516 dotyczący routera DIR-822A — dwuzakresowego modelu Wi-Fi, który przez lata trafiał do domów i małych biur również w Europie. Podatność CVE-2026-86296 dostała maksymalną ocenę 10.0 zarówno w skali CVSS 3.1, jak i CVSS 4.0. Najgorsze jest jednak coś innego: w sieci krąży już publiczny kod demonstrujący atak (PoC), a producent na razie nie ma dla użytkowników żadnej aktualizacji. Status zgłoszenia to wciąż „w trakcie analizy”.
Gdzie tkwi błąd
Problem siedzi w komponencie odpowiedzialnym za DHCP, czyli usłudze, która rozdaje urządzeniom w sieci adresy IP. W pliku serverpacket.c programiści użyli funkcji strcpy do kopiowania danych z pakietu, nie sprawdzając ich długości. To klasyczny błąd przepełnienia bufora na stosie — jeden z najstarszych i najlepiej opisanych w historii bezpieczeństwa oprogramowania. Odpowiednio spreparowany pakiet nadpisuje pamięć urządzenia, co w najlepszym razie kończy się zawieszeniem usługi DHCP, a w najgorszym — wykonaniem kodu napastnika na routerze.
Atak nie wymaga logowania ani żadnej akcji użytkownika. Wystarczy, że napastnik może wysłać pakiet do podatnej usługi. Zgodnie z wektorem CVSS skutki mogą wykraczać poza sam router, bo przejęte urządzenie brzegowe widzi cały ruch domowej lub firmowej sieci.
Druga dziura w tym samym urządzeniu
W tym samym biuletynie D-Link opisał również CVE-2026-86510 — błąd zapisu poza granicami bufora w obsłudze protokołu L2TP (używanego m.in. przy połączeniach VPN). Ocena to 9.9 w CVSS 3.1. Ta luka wymaga niskich uprawnień, ale również da się ją wykorzystać zdalnie i także dla niej opublikowano PoC.
Obie podatności dotyczą wersji firmware A_101 i wersji routera przeznaczonej na rynki poza USA. D-Link sprawdza jeszcze, których rewizji sprzętowych dokładnie dotyczy problem i czy w ogóle wyda poprawkę — co przy starszym modelu wcale nie jest przesądzone.
Dlaczego stare routery to tykająca bomba
Routery to urządzenia, o których większość z nas zapomina zaraz po podłączeniu. Działają latami, nikt ich nie aktualizuje, a producent w pewnym momencie kończy wsparcie. Od tej chwili każda nowo odkryta luka zostaje otwarta na zawsze. Botnety w rodzaju Mirai od lat żyją właśnie z takiego sprzętu — przejęte routery służą do ataków DDoS, jako serwery proxy dla przestępców albo punkt wejścia do sieci, w której stoją komputery z danymi firmy.
Publiczny exploit dramatycznie skraca czas do pierwszych ataków. W przypadku wcześniejszych luk w sprzęcie D-Link i innych producentów automatyczne skanowanie zaczynało się w ciągu kilku dni od publikacji kodu.
Co zrobić, jeśli masz DIR-822A
- Sprawdź na naklejce pod urządzeniem dokładny model i rewizję sprzętową, a w panelu administracyjnym wersję firmware.
- Wyłącz zdalne zarządzanie routerem z internetu, jeśli jest włączone.
- Nie udostępniaj sieci Wi-Fi obcym osobom i ogranicz sieć gościnną — atak na usługę DHCP najłatwiej przeprowadzić z wnętrza sieci.
- Jeśli nie korzystasz z L2TP/VPN na routerze, wyłącz tę funkcję.
- Śledź biuletyn SAP10516 na stronie D-Link i instaluj wyłącznie firmware przeznaczone dla Twojej rewizji sprzętu.
- Najrozsądniejsze rozwiązanie: wymień router na nowy, wspierany model. Kilkaset złotych to niewielka cena w porównaniu z przejęciem całej sieci.
Podsumowanie
CVE-2026-86296 to podręcznikowy przykład tego, jak prosty błąd programistyczny w tanim urządzeniu sieciowym staje się poważnym zagrożeniem. Ocena 10/10, publiczny exploit i brak poprawki to zestaw, przy którym nie warto czekać. Router to brama do wszystkiego, co mamy w sieci — i powinien być traktowany z taką samą uwagą jak komputer czy telefon. Jeśli Twój sprzęt ma już kilka lat i dawno nie widział aktualizacji, to dobry moment, żeby go sprawdzić.
źródło: https://gbhackers.com/d-link-dir-822a-router-vulnerability/