Asus усуває критичні вразливості в роутерах через VPN-конфігурації

Компанія Asus випустила оновлення прошивки для роутерів, яке усуває дві критичні вразливості. Одна з них дає змогу виконувати довільні команди через спеціально сформований файл конфігурації VPN-клієнта, завантажений у вебінтерфейс керування пристроєм.

Про проблему повідомляє Tom's Hardware. В Asus порадили власникам роутерів імпортувати файли налаштувань VPN лише з надійних джерел.

Вразливість у VPN-файлах

Уразливість CVE-2026-14157 отримала 9,4 бала з 10 за шкалою CVSS 4.0. Вона стосується серії прошивок 3.0.0.6_102. Роутер може працювати як VPN-клієнт після імпорту конфігураційного файла від провайдера VPN, однак спеціально підготовлені дані в такому файлі можуть інтерпретуватися не як звичайні параметри, а як інструкції для виконання команд.

Ризик стосується саме імпорту VPN-конфігурацій у роутер через його панель адміністрування, а не застосунків VPN на ноутбуках чи смартфонах. Asus також попереджає, що зловмисники можуть намагатися переконати адміністраторів завантажити шкідливий файл за допомогою соціальної інженерії.

Окрема проблема з Telnet

Друге виправлення стосується CVE-2026-13313 з оцінкою 8,9 бала за CVSS 4.0. За даними виробника, активний налагоджувальний код давав авторизованому користувачеві або нападнику змогу обійти перевірки безпеки, увімкнути Telnet і потенційно виконувати команди з привілеями root.

Ця проблема зачіпає прошивки серій 3.0.0.6_102, 3.0.0.4_386 та 3.0.0.4_388. Asus рекомендує встановити доступне оновлення, використовувати унікальний пароль адміністратора довжиною щонайменше 10 символів із великими літерами, цифрами та символами, а також не запускати неперевірені скрипти, інструменти чи команди на пристроях локальної мережі.

Для роутерів, що вже досягли завершення життєвого циклу та не отримають нової прошивки, компанія радить застосовувати надійні унікальні паролі для входу до панелі керування та Wi‑Fi.