در تحولی نگران‌کننده برای امنیت شبکه در پاییز ۱۴۰۵، شرکت ایسوس وصله‌های امنیتی حیاتی را برای رفع دو آسیب‌پذیری بحرانی در روترهای خود منتشر کرده است. این حفره‌های امنیتی که به مهاجمان اجازه می‌دهد از طریق دستکاری فایل‌های تنظیمات VPN یا فعال‌سازی غیرمجاز پروتکل Telnet، کنترل کامل دستگاه را با دسترسی ریشه (Root) به دست بگیرند، زنگ خطری جدی برای کاربران خانگی و سازمان‌های کوچک محسوب می‌شود.
تحلیل فنی آسیب‌پذیری تزریق دستور در تنظیمات VPN
مشکل اصلی زمانی بروز می‌کند که رابط مدیریت وب روترهای ایسوس، محتوای متنی موجود در فایل‌های تنظیمات VPN (.ovpn) وارد شده توسط کاربر را به درستی اعتبارسنجی نمی‌کند. مهاجمان با دستکاری این فایل‌ها و گنجاندن کدهای مخرب در میان دستورات پیکربندی، باعث می‌شوند که روتر به جای پردازش عادی، این ورودی‌ها را به عنوان دستورات اجرایی در سطح سیستم‌عامل تفسیر کند. این نقص که با شناسه CVE-2026-14157 ثبت شده و امتیاز بحرانی ۹.۴ از ۱۰ را در مقیاس CVSS 4.0 دریافت کرده است، عملاً به یک مهاجم اجازه می‌دهد تا کدهای دلخواه خود را روی روتر اجرا نماید.
نفوذ از طریق Telnet و باگ‌های باقی‌مانده در کدهای دیباگ
علاوه بر مشکل یاد شده، آسیب‌پذیری دوم با شناسه CVE-2026-13313 به مهاجمانی که دسترسی محدودی به مدیریت روتر دارند، اجازه می‌دهد از کدهای دیباگ (Debug) غیرفعال‌نشده برای دور زدن مکانیزم‌های امنیتی استفاده کنند. این باگ به مهاجم اجازه می‌دهد پروتکل Telnet را فعال کرده و با دسترسی ریشه، دستورات سطح بالایی را صادر کند که می‌تواند نه تنها روتر، بلکه تمامی تجهیزات متصل به شبکه محلی را در معرض خطر قرار دهد.
مشخصات فنی و نسخه‌های آسیب‌پذیر
- شناسه‌های آسیب‌پذیری: CVE-2026-14157 (امتیاز ۹.۴) و CVE-2026-13313 (امتیاز ۸.۹)
- سری سفت‌افزار (Firmware) آسیب‌پذیر: 3.0.0.6_102 (هر دو باگ) و سری‌های 3.0.0.4_386/388 (مخصوص باگ Telnet)
- اقدام فوری: به‌روزرسانی سفت‌افزار به آخرین نسخه از طریق وب‌سایت رسمی ایسوس
- توصیه امنیتی: استفاده از رمز عبور حداقل ۱۰ کاراکتری شامل حروف بزرگ، ارقام و نمادها برای پنل مدیریت
اقدامات پیشگیرانه و توصیه‌های امنیتی
ایسوس اکیداً توصیه کرده است که کاربران از وارد کردن فایل‌های پیکربندی VPN از منابع غیرمعتبر و ناشناس خودداری کنند. در محیط‌هایی که امکان به‌روزرسانی فوری وجود ندارد یا دستگاه به پایان عمر مفید خود (EOL) رسیده است، محدود کردن دسترسی به پنل مدیریت وب و استفاده از کلمات عبور پیچیده، تنها سد دفاعی کاربران است. همچنین نباید فراموش کرد که این آسیب‌پذیری‌ها مستقل از اپلیکیشن‌های VPN نصب شده روی لپ‌تاپ یا موبایل هستند و صرفاً متوجه «روتر» به عنوان کلاینت VPN است.
چالش گسترده‌تر: امنیت سخت‌افزار ایسوس
این رخداد نشان‌دهنده یک ضعف ساختاری در مدیریت پیکربندی در وب‌سرور داخلی روترهای ایسوس است که پیش‌تر نیز توسط تیم VulnCheck در موارد مشابه مورد انتقاد قرار گرفته بود. علاوه بر روترها، ایسوس برای ۱۳ مدل از مادربردهای خود شامل سری Z390 و C246 نیز وصله‌های امنیتی برای رفع آسیب‌پذیری دسترسی فیزیکی به حافظه سیستم منتشر کرده است که نشان‌دهنده گستردگی تلاش‌های این شرکت برای بهبود وضعیت امنیت محصولات خود در اواخر سال ۲۰۲۶ است.
