A porta traseira de Tenda: acesso administrativo sem credenciais em várias versões do firmware CVE-2026-11405

Pesquisadores detectaram um mecanismo de acesso oculto em várias versões de firmware de roteadores do fabricante chinês Tenda que permite contornar a autenticação do painel web e obter privilégios administrativos sem credenciais válidas; a vulnerabilidade figura como CVE-2026-11405 e, segundo o aviso público, ainda estava sem adesivo no momento do relatório.

A falha reside na função de autenticação do binário Web (/bin/httpd): o processo de autenticação parece seguir primeiro a verificação normal baseada em MD5, mas se essa verificação falhar o código activa uma rota alternativa que consulta um campo interno de configuração chamado sys.rzadmin.password e compara o texto claro do valor armazenado com a senha que o atacante introduz. Se corresponderem, é criada uma sessão com papel administrativo(role=2) e, notavelmente, o nome de utilizador não é validado, de modo que qualquer identificador combinado com essa senha oculta concede acesso administrativo.

Do ponto de vista operacional, isto tem implicações graves: um atacante que descobrir ou adivinhar esse valor pode reconfigurar a equipe de forma remota, desativar mecanismos de segurança, inserir regras de rede maliciosas ou até instalar firmware alternativo; tudo isso sem necessidade das credenciais do administrador legítimo. Além disso, como a porta traseira está implementada no próprio firmware, um simples reinício ou um restabelecimento de fábrica pode não eliminar a vulnerabilidade se não se instalar uma versão corrigida.

Os modelos e builds afetados identificados no relatório incluem variantes com nomes como US_FH1201V1.0BR_V1.2.0.14 (...), US_W15EV1.0br_V15.11.0.5 (...), e várias séries ACx com os sufixos V15.03.06.xx, embora a lista completa possa ser ampliada se forem descobertas mais builds com a mesma implementação. O achado foi encaminhado por um pesquisador que preferiu permanecer no anonimato e, segundo a nota, Tenda foi contatada para comentar.

Como medidas imediatas de mitigação, recomenda-se desactivar o acesso remoto/gestão remota do roteador da interface web e bloquear o porto de administração na borda da rede para impedir acessos de WAN. Mudar o endereço IP LAN por defeito e localizar os dispositivos domésticos ou IoT em uma rede ou VLAN separada reduz a probabilidade de descoberta por exploradores automáticos que buscam faixas IP conhecidas e portos abertos.

Além disso, embora a mudança da senha administrativa seja uma boa prática habitual, neste caso essa ação por si só pode não ser suficiente devido ao mecanismo de comparação em texto claro; por isso é importante combinar a mudança de credenciais com regras de isolamento de rede, corta-fogos que impeçam o acesso externo ao painel de administração e a limitação de administração a endereços IP específicos se o firmware o permitir.

Para organizações e usuários avançados, vale a pena auditar o inventário de dispositivos e verificar as versões de firmware disponíveis em cada unidade desde a própria interface ou etiqueta do equipamento, e preparar um roteiro para aplicar adesivos ou, em seu defeito, substituir hardware crítico se o fabricante demora em responder. Manter-se informado sobre o estado do CVE e as correcções disponíveis é fundamental; consultar a entrada pública do CVE para seguir as actualizações oficiais CVE-2026-11405 no MITRE e a página do fabricante Tenda para procurar firmware e avisos.

Se houver conhecimentos técnicos, outra opção é avaliar a compatibilidade com o firmware de código aberto e de confiança, como o OpenWrt, para equipamentos suportados, o que permite maior controle e visibilidade sobre o software que corre no dispositivo; contudo, mudar de firmware requer precaução e verificar compatibilidades específicas com o modelo em questão ( OpenWrt). Como medida de detecção, revisar logs de conexão, monitorar pedidos HTTP incomuns para a interface de gestão e empregar scanners de rede para identificar dispositivos com versões vulneráveis ajuda a localizar possíveis compromissos.

Em suma, a combinação de uma porta traseira em firmware e a falta de um adesivo imediato torna este achado em um risco de prioridade elevada para redes domésticas e especialmente para ambientes onde esses dispositivos fazem parte da infraestrutura crítica. Atuar agora, com isolamento e restrições de gestão, e monitorar a publicação de atualizações do fornecedor são as melhores defesas até que exista uma correção oficial.