CVE-2026-74232
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-74232 betrifft verschiedene Zbtlink- und MoreQuick-Firmware-Versionen, darunter Zbtlink L3_V2_8, WE826-T2, ZBT-7628, ZBT-ZBT7621 sowie MoreQuick MQAC-7620, MQAP-7620, MQAP-7628 und weitere. Es handelt sich um ein Backdoor-Command-and-Control-Implantat (yunmgrd), das über einen unauthentifizierten Klartext-UDP-Kanal erreichbar ist. Ein entfernter, nicht authentifizierter Angreifer kann diesen Kanal kapern und beliebige Befehle als Root ausführen, DNS-Einträge ändern, PPPoE-Anmeldeinformationen exfiltrieren und Reverse-SSH-Tunnel öffnen. Die Auswirkungen sind kritisch, da dies eine vollständige Kompromittierung der betroffenen Geräte ermöglicht. Die Schwachstelle weist einen CVSS-Score von 9.8 (CRITICAL) auf, was auf eine extrem hohe Kritikalität hinweist. Obwohl die EPSS-Wahrscheinlichkeit mit 1% derzeit niedrig ist und die Schwachstelle nicht in der CISA KEV-Liste aufgeführt ist, deutet die Art der Schwachstelle (Backdoor mit Root-Zugriff) auf ein erhebliches Risiko hin, das nicht unterschätzt werden sollte. Security-Teams sollten umgehend alle betroffenen Zbtlink- und MoreQuick-Geräte identifizieren und prüfen, ob Firmware-Updates verfügbar sind, um diese kritische Backdoor zu schließen. Falls keine Patches verfügbar sind, sollten betroffene Geräte isoliert oder aus dem Netzwerk entfernt werden, um eine Ausnutzung zu verhindern. Eine Überwachung des Netzwerkverkehrs auf ungewöhnliche UDP-Kommunikation mit dem genannten C2-Server ist ebenfalls ratsam.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Zbtlink L3_V2_8 firmware 3.0.0.4.528, Zbtlink WE826-T2 firmware 19.1101, Zbtlink ZBT-7628 firmware 1.0.0.2.007, Zbtlink ZBT-ZBT7621 firmware 1.0.0.3.001, MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A, and MQAP-7628 firmware 1.0.0.2.000, AP522 firmware 1.0.0.2.014, AP7628 and HC5661A firmware 3.0.0.4.380, APG721B firmware 19.0809, HK300 firmware 1.0.0.2.032, and MAP-N10 firmware 1.0.0.2.044 ship a backdoor command-and-control implant (yunmgrd) reachable over an unauthenticated cleartext UDP channel to a hardcoded C2 server. A remote unauthenticated attacker on the network path can hijack the channel and execute arbitrary commands as root. The attacker can also modify DNS entries, exfiltrate PPPoE credentials, and open reverse SSH tunnels.