Analisi tecnica delle vulnerabilità critiche Tenda AC1206 e AC18. Come l'assenza di password admin espone l'edge networking a rischi di reset e accessi non autorizzati.

La password che non esisteva

Immaginate un ufficio dove la porta d'ingresso è blindata, ma la finestra del seminterrato è rimasta aperta per dimenticanza. In termini di networking, questo scenario si realizza quando un router viene installato e messo in rete senza che l'amministratore abbia impostato la password di gestione web. Per molti imprenditori, il router è un oggetto trasparente: una volta che internet funziona, l'apparecchio scompare dalla vista. Questa inerzia operativa è diventata il vettore d'ingresso per tre nuove vulnerabilità critiche che colpiscono i modelli Tenda AC1206 e AC18.

L'Agenzia per la cybersicurezza nazionale (ACN) ha segnalato la disponibilità di Proof of Concept (PoC) pubblici, ovvero dimostrazioni tecniche che provano come queste falle possano essere sfruttate concretamente. Il problema non risiede in un errore di codice complesso, ma in una condizione di 'Missing Authentication'. In parole povere, il sistema non chiede chi sia l'utente se la password web-admin non è stata configurata, lasciando la porta aperta a chiunque sappia dove guardare.

Il varco aperto di TendaTelnet

Il cuore del problema risiede in una specifica funzionalità chiamata TendaTelnet, integrata nella componente Web UI dei dispositivi interessati. Telnet è un protocollo di rete datato, utilizzato per amministrare i dispositivi tramite riga di comando. Sebbene sia ampiamente superato da protocolli più sicuri come SSH, rimane spesso presente nel firmware per scopi di debug o manutenzione.

Le vulnerabilità identificate come CVE-2026-82693 e CVE-2026-82695 permettono a un utente malintenzionato di abilitare questo servizio Telnet senza alcuna credenziale, a patto che il router sia in stato di configurazione iniziale. Una volta attivato Telnet, l'attaccante non deve più interagire con l'interfaccia web, ma può accedere direttamente al sistema operativo del router.

Analisi strategica: L'abilitazione di Telnet non è solo un problema di accesso, ma un ampliamento della superficie di attacco. Una volta che un malintenzionato ha un terminale aperto sul dispositivo, può tentare di scalare i privilegi, sniffare il traffico di rete che attraversa il router o utilizzare l'apparecchio come testa di ponte per muoversi lateralmente all'interno della rete aziendale, raggiungendo server, NAS o workstation.

Due CVE con score 10

Nel mondo della cybersecurity, il punteggio CVSS (Common Vulnerability Scoring System) misura la gravità di una falla su una scala da 0 a 10. Un punteggio di 10 indica il massimo livello di criticità: la vulnerabilità è facile da sfruttare, non richiede privilegi e ha un impatto totale su riservatezza, integrità e disponibilità.

Le falle Tenda in questione hanno raggiunto questo picco. La CVE-2026-82694, specificamente legata al modello AC1206 (versione 15.03.06.23), riguarda la funzionalità R7WebsSecurityHandler. Qui, l'insufficienza di verifica dell'autenticazione nella risorsa /goform/ate permette a un utente non autenticato di eseguire operazioni amministrative di alto livello.

Le implicazioni sono dirette e devastanti per la continuità operativa di un'impresa. Un attaccante può:

• Riavviare il dispositivo, causando un Denial of Service (DoS).
• Ripristinare le impostazioni di fabbrica, cancellando ogni configurazione di rete.
• Modificare la configurazione NVRAM (Non-Volatile Random Access Memory).
• Alterare le impostazioni di connettività wireless e di rete.

Come resettare un router a distanza

Il processo tecnico dietro queste vulnerabilità segue un percorso lineare. L'attaccante scansiona la rete alla ricerca di dispositivi Tenda che rispondono sulla porta della Web UI. Una volta individuato un target, invia una richiesta specifica alla risorsa /goform/ate. Poiché il sistema non verifica l'identità dell'utente se la password admin è assente, il comando viene eseguito come se fosse stato impartito dal proprietario del dispositivo.

Il ripristino delle impostazioni di fabbrica a distanza è l'operazione più critica. Per un'azienda, questo significa che il router torna allo stato 'out-of-the-box'. Tutte le regole di firewall, le VLAN, le password del Wi-Fi e le configurazioni di routing vengono eliminate. Il risultato è un blackout immediato della connettività. Se l'attaccante modifica inoltre la NVRAM, può inserire configurazioni malevole persistenti che sopravvivono anche a un riavvio manuale.

Analisi di business: Il costo di un simile incidente non è solo il tempo di inattività (downtime), ma il rischio di 'man-in-the-middle'. Se l'attaccante modifica i DNS nel router, può reindirizzare tutto il traffico aziendale verso siti di phishing clonati, intercettando credenziali bancarie o password di accesso ai servizi cloud aziendali senza che l'utente finale noti anomalie evidenti nell'URL.

Perché l'omissione di un setup è un rischio sistemico?

Questo caso solleva una questione di design e di responsabilità. Molti produttori di hardware consumer, come Tenda, progettano i dispositivi per essere 'plug-and-play'. La facilità di installazione è un vantaggio competitivo, ma se l'esperienza utente permette di saltare la configurazione della password di amministrazione, il prodotto viene immesso sul mercato con una vulnerabilità logica intrinseca.

L'omissione del setup non è un errore dell'utente, ma un fallimento del processo di 'secure by default'. Se un dispositivo permettesse l'accesso a funzioni amministrative critiche senza aver prima obbligato l'utente a creare una password, sta essenzialmente distribuendo una porta aperta. In un contesto professionale, dove i router consumer vengono spesso usati in piccole sedi o come backup, questa leggerezza diventa un rischio sistemico.

Per l'imprenditore, la lezione è chiara: l'hardware economico o semplificato sposta il costo della sicurezza sull'utente finale. Se il vendor non impone standard di sicurezza all'avvio, l'onere della protezione ricade interamente sulla competenza tecnica di chi installa il dispositivo.

La sicurezza dell'edge networking tra NIS2 e le PMI italiane

L'edge networking — ovvero tutto ciò che sta al confine tra la rete interna e internet — è l'anello più debole della catena. In Italia, migliaia di PMI utilizzano hardware di fascia consumer per gestire connessioni aziendali, ignorando che un router non configurato è un invito aperto agli attacchi.

L'entrata in vigore della direttiva europea NIS2 cambia radicalmente il paradigma. La normativa non riguarda più solo i 'settori critici' (energia, trasporti, salute), ma estende gli obblighi di cybersecurity a una platea molto più ampia di aziende, incluse molte medie imprese che forniscono servizi a enti strategici. La NIS2 impone misure di gestione del rischio e obblighi di notifica degli incidenti.

Un router Tenda non configurato, che permette un reset a distanza o l'accesso Telnet, rappresenta una violazione palese dei principi di 'igiene informatica' richiesti dalle nuove normative europee. Le aziende non potranno più giustificare l'uso di dispositivi non sicuri o non aggiornati come semplice 'scelta di budget'.

Per monitorare l'evoluzione di questo rischio, gli imprenditori dovrebbero osservare due indicatori verificabili: 1. Il rilascio di patch ufficiali da parte di Tenda per le versioni 15.03.06.23 (AC1206) e 15.03.05.19 (AC18). 2. L'integrazione di requisiti di 'secure configuration' nei bandi di gara per l'approvvigionamento IT delle PMI italiane, in linea con i requisiti NIS2.

In sintesi, l'incidente Tenda è un monito: la sicurezza non inizia dal firewall più costoso, ma dalla semplice e fondamentale impostazione di una password di amministrazione. Senza questa base, ogni altra misura di protezione è inutile.

FAQ

Q: Quali sono i modelli di router Tenda specificamente colpiti?
A: I modelli interessati sono il Tenda AC1206 (versione 15.03.06.23) e il Tenda AC18 (versione 15.03.05.19).

Q: Cosa succede se ho un router Tenda ma ho già impostato la password web-admin?
A: Le vulnerabilità descritte (CVE-2026-82693, 82694, 82695) si manifestano specificamente qualora la password web-admin non sia stata ancora configurata. Se la password è presente, il varco di accesso non autenticato è chiuso.

Q: Qual è il rischio principale per un'azienda che usa questi dispositivi?
A: Il rischio principale è la perdita di disponibilità del servizio (tramite reset di fabbrica o riavvii) e la compromissione della rete interna tramite l'abilitazione non autorizzata del servizio Telnet.

---

Fonti: Acn ·

glacom · IA per aziende e PMI: da dove si comincia davvero →