DrayTek Vigor2960: iniezione di comandi nel caricamento file

Cosa significa per l'impianto

Il Vigor2960 è un router con VPN usato come porta tra la rete delle telecamere e internet e per l'accesso remoto di installatori e sedi collegate. Il difetto è nella funzione di caricamento file dell'interfaccia web: chi dispone di un accesso, anche con privilegi bassi, può far eseguire comandi al router e prenderne il controllo, con effetti su VPN, NVR e telecamere a valle. La fonte indica che l'aggiornamento a 1.5.1.7 mitiga il problema, ma il produttore dichiara il modello fuori supporto, con correzioni limitate ai problemi più gravi.

Come capire se sei esposto

• Nell'impianto è in servizio un DrayTek Vigor2960 con firmware precedente a 1.5.1.7?
• L'interfaccia web di gestione è raggiungibile da internet o tramite VPN da molti utenti?
• Quanti account hanno accesso alla gestione del router e le loro credenziali sono note a terzi, come ex manutentori?
• Esiste un piano per sostituire un apparato dichiarato fuori supporto dal produttore?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Fonti

• https://vuldb.com/vuln/422667
• https://vuldb.com/vuln/422667/cti
• https://vuldb.com/cve/CVE-2026-113391
• https://vuldb.com/submit/992244
• https://github.com/yikesoftware/DrayTek_Vigor2960_Security_Analysis/tree/main/cases/DRV2960-0008-authenticated-upload-filename-command-injection
• https://fw.draytek.com.tw/Vigor2960/Firmware/v1.5.1.7/Vigor2960_v1.5.1.7.zip
• https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-104990
• https://nvd.nist.gov/vuln/detail/CVE-2026-113391

Scheda compilata in automatico il 21 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.