Ungepatchte Backdoor gefährdet Tenda-Netzwerkgeräte

Eine undokumentierte Hintertür (CVE-2026-11405) in Tenda-Geräten gewährt Angreifern Admin-Rechte. Auch HP-Drucker weisen eine kritische API-Lücke auf.

Das CERT Coordination Center (CERT/CC) der Carnegie Mellon University warnt vor einer kritischen Sicherheitslücke in Netzwerkgeräten des Herstellers Tenda. Die Schwachstelle mit der Kennung CVE-2026-11405 betrifft Router, Switches und weitere Netzwerkkomponenten. Der Fehler befindet sich in der Login-Funktion des Webserver-Binärcodes. Schlägt eine reguläre Anmeldung fehl, versucht der Mechanismus, einen in der Gerätekonfiguration hinterlegten Passwortwert abzurufen. Das System gleicht das vom Benutzer eingegebene Passwort im Klartext mit diesem Wert ab und gewährt bei einer Übereinstimmung administrativen Zugriff. Das CERT/CC erklärt hierzu:

„Der zugehörige Benutzername wird nicht validiert, sodass jeder angegebene Benutzername erfolgreich ist, wenn er mit dem Backdoor-Passwort kombiniert wird. Dieser Backdoor-Authentifizierungsmechanismus ist weder dokumentiert noch über eine administrative Schnittstelle sichtbar.“

CERT/CC

Keine Sicherheits-Updates vom Hersteller verfügbar

Ein erfolgreicher Angriff ermöglicht es böswilligen Akteuren, die Konfigurationen und Netzwerkeinstellungen der betroffenen Geräte zu modifizieren sowie Sicherheitsfunktionen vollständig zu deaktivieren. Dies kann zu einer Kompromittierung des lokalen Netzwerks führen. Laut Angaben des CERT/CC war eine Koordination mit dem Hersteller Tenda zur Behebung des Problems nicht möglich. Da bislang keine offiziellen Sicherheits-Patches zur Verfügung stehen, wird Anwendern dringend empfohlen, die Fernverwaltung ihrer Geräte zu deaktivieren. Zudem sollte die standardmäßige LAN-IP-Adresse geändert werden, um das Risiko einer automatisierten Erkennung durch Schadsoftware-Scanner zu minimieren.

Offene API-Schnittstellen bei HP-Deskjet-Druckern

Neben den Fehlern in Tenda-Produkten dokumentierte das CERT/CC eine weitere unkorrigierte Sicherheitslücke bei Druckern der Serie HP Deskjet 2800 mit Firmware-Versionen bis einschließlich TBP1CN2612AR. Die unter CVE-2026-13753 geführte Schwachstelle basiert auf einer fehlenden Autorisierungsprüfung. Angreifer können unauthentifizierte GET-Anfragen an verschiedene Backend-API-Endpunkte des integrierten Webservers senden. Diese Schnittstellen geben ohne Sitzungsvalidierung administrative Konfigurationsdaten im Klartext zurück. Hierzu zählen unter anderem die Wi-Fi Direct SSID, die dazugehörigen Passphrasen, Seriennummern sowie der Status des Administrator-Passworts. Für diese Schwachstelle liegt derzeit ebenfalls kein Patch vor.

(red)