CVE-2026-66747
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-66747 betrifft die Firmware von Zbtlink-Routern, die ein eingebettetes Remote-Control-Implantat namens ENDLESSDOORS enthält. Dieses Implantat, das als Root unter dem Prozessnamen kworker läuft, stellt eine unauthentifizierte und unverschlüsselte Verbindung zu einem fest kodierten Command-and-Control-Server her. Angreifer können über diese Verbindung beliebigen Code als Root ausführen, da empfangene Strings direkt an popen() übergeben werden und eine interaktive Root-Shell verfügbar ist. Da keine Authentifizierung oder Transportverschlüsselung vorhanden ist, kann jede Partei, die die C2-Adresse kontrolliert oder den Netzwerkpfad manipuliert, die Kontrolle übernehmen. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet, was auf ein extrem hohes Risiko hinweist. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1% liegt und die Schwachstelle nicht in CISA KEV gelistet ist, ist das Potenzial für unauthentifizierte Remote Code Execution als Root äußerst kritisch. Die geringe EPSS-Rate könnte auf die Neuheit oder spezifische Ausnutzungsbedingungen hindeuten, mindert jedoch nicht die Schwere der potenziellen Auswirkungen. Security-Teams sollten dringend alle Zbtlink-Router in ihrer Umgebung identifizieren und isolieren oder außer Betrieb nehmen, falls keine Patches verfügbar sind. Eine Überwachung des Netzwerkverkehrs auf ungewöhnliche Verbindungen zu den genannten C2-Servern oder auf unverschlüsselte Kommunikation auf den Ports 7000 und 7001 ist ebenfalls ratsam. Da die Schwachstelle eine Hintertür darstellt, ist ein Austausch der betroffenen Geräte die sicherste Maßnahme.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Zbtlink router firmware ships an embedded remote-control implant, ENDLESSDOORS, present in every published build across the product line. It is the open-source ycsunjane/rctl tool built in as an OpenWrt package (librctl.so), started at boot and run as root under the process name kworker to blend in with the kernel's [kworker/*] threads. It opens no listening port; it phones home over cleartext TCP to a hardcoded command-and-control server (command channel 7000, interactive-shell callback 7001) with no authentication and no transport encryption, re-attempting contact roughly every 35 seconds. Its command handler passes any received string to popen() as uid=0, and a reserved rctlbash command returns an interactive root shell. Because the channel is unauthenticated and cleartext, control is not limited to whoever planted it: any party that answers at the C2 address, occupies the network path (DNS or route hijack), or acquires the hardcoded fallback domain obtains unauthenticated remote code execution as root.