- В прошивках ряда маршрутизаторов Zyxel обнаружена критическая уязвимость CVE-2025-13942 с возможностью удалённого выполнения кода (RCE).
- Атака возможна через специально сформированные UPnP SOAP-запросы при включённом доступе с WAN, который по умолчанию отключён.
- Zyxel рекомендует обновить прошивку и отключить неиспользуемые функции, предупреждая, что для устаревших моделей патчи выпускаться не будут.
Тайваньский производитель сетевого оборудования Zyxel сообщил о серьезной уязвимости, затрагивающей более десятка моделей маршрутизаторов и других сетевых устройств. Проблема обнаружена в функции UPnP, реализованной в их прошивках, и получила обозначение CVE-2025-13942. Эксплуатация уязвимости позволяет злоумышленникам удалённо выполнять произвольные команды на уязвимом устройстве, что создает серьезный риск для безопасности сетей, использующих эти маршрутизаторы.
Под удар попали различные устройства Zyxel, включая 4G LTE/5G NR CPE, DSL/Ethernet CPE, оптические терминалы Fiber ONT, а также беспроводные расширители. Атака реализуется через специально сформированные UPnP SOAP-запросы. В то же время Zyxel отмечает, что риск успешной атаки снижён благодаря настройкам по умолчанию: доступ с WAN-порта в устройствах изначально отключён, и для проведения атаки требуется, чтобы этот доступ был включён.
Тем не менее производитель настоятельно рекомендует всем пользователям как можно скорее установить новые патчи с исправлениями безопасности. Компания также предупреждает, что для устаревших моделей маршрутизаторов VMG и SBG обновления выпускаться не будут, поэтому владельцам таких устройств советуют заменить их на более современные аналоги.
Согласно данным сервиса Shadowserver, в интернете сейчас доступно приблизительно 120 тысяч устройств Zyxel, из которых свыше 76 тысяч — маршрутизаторы. При этом, по собственным оценкам Zyxel, её сетевые решения используются более чем миллионом организаций в 150 странах. В этой связи производитель обращается к администраторам с призывом своевременно обновлять прошивки, а также отключать неиспользуемые функции, включая UPnP, для минимизации угрозы взлома.
