腾达多版本固件暗藏认证后门

背景

Tenda（腾达）是一家为家庭和企业提供网络设备的供应商，产品涵盖路由器、交换机、无线接入点及视频监控设备等。这些设备大多配有基于 Web 的管理界面，用户可通过用户名和密码认证来配置和管理网络。然而，最新研究发现，多个版本的 Tenda 固件中存在一个未文档化的认证后门，攻击者无需有效凭据即可绕过密码验证，获得设备的完全管理控制权。该漏洞被追踪为 CVE-2026-11405。

核心内容

安全研究人员发现，Tenda 部分固件的 Web 服务器二进制文件 /bin/httpd 中的 login() 函数含有一个隐藏的后门认证机制。该函数首先执行正常的基于 MD5 的密码验证流程；一旦正常认证失败，函数会调用 GetValue("sys.rzadmin.password") 从设备配置中获取一个备用密码值。接着，它使用明文比较（strcmp()）将用户输入的密码与该配置存储值直接对比。若匹配成功，则授予 role=2 级别的管理员权限，并创建有效会话。值得注意的是，该后门不验证关联的用户名，因此任何用户名与后门密码配合都能通过认证。

受影响固件版本如下：

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• US_AC10V1.0re_V15.03.06.46_multi_TDE01
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• US_AC6V2.0RTL_V15.03.06.51_multi_T

该后门从未在任何管理界面或文档中被记录或显示，属于完全的隐藏机制。

关键要点

• 漏洞编号：CVE-2026-11405，属于认证绕过类漏洞。
• 受影响产品：Tenda 多款路由器/接入设备的特定固件版本，型号包括 FH1201、W15E、AC10、AC5、AC6 等。
• 技术细节：后门存在于 /bin/httpd 的 login() 函数中，通过读取配置项 sys.rzadmin.password 获取替代密码，并与用户输入明文比较。
• 利用条件：无需有效用户名；任何用户名配合后门密码均可使认证通过并获得 role=2 管理员权限。
• 漏洞影响：成功利用后，攻击者可完全接管设备 Web 管理界面，修改网络配置、关闭安全功能，进而危害整个本地网络。
• 修补状态：研究人员无法联系到 Tenda 厂商进行协调，目前无官方补丁可用。
• 缓解措施：建议用户禁用远程管理功能、更改默认 LAN IP 地址以减少被自动扫描工具发现的风险。

意义与影响

该漏洞严重性极高，因为它允许任何知道后门密码（或能通过暴力猜解、逆向提取密码）的攻击者直接获得设备管理员权限，而无需绕过正常登录界面。由于 Tenda 设备广泛部署在家庭和小型办公室网络中，攻击者一旦得手，可篡改 DNS 设置、劫持流量、植入恶意固件或将设备纳入僵尸网络。更令人担忧的是，厂商未响应协调请求，这意味着大量已售出且不再更新的设备可能永远无法获得官方修复。

用户应尽快采取缓解措施：在设备设置中关闭远程 Web 管理（WAN 侧访问），并将管理接口限制在局域网内；同时更改默认 LAN 子网（如将 192.168.1.0/24 改为其他私有 IP 段），以降低被互联网上自动扫描器批量命中的概率。在厂商发布补丁前，设备安全性只能依靠这些临时工作区来维持。这一事件也再次凸显了物联网设备固件安全审计的紧迫性——隐藏后门的存在对用户信任和网络生态构成直接威胁。