Tenda Yönlendiricilerdeki Gizli Yönetici Arka Kapısı Tehdidi

Siber güvenlik dünyası, ağ cihazlarında ortaya çıkan ciddi güvenlik zaafiyetleriyle çalkalanmaya devam ediyor. Bu kez mercek altında, Çinli ağ cihazı üreticisi Tenda’nın bazı yönlendiricileri yer alıyor. CERT Koordinasyon Merkezi (CERT/CC) tarafından 7 Temmuz 2026 tarihinde yapılan uyarıya göre, Tenda yönlendiricilerin çeşitli firmware sürümlerinde dokümante edilmemiş bir kimlik doğrulama arka kapısı keşfedildi. Bu gizli arka kapı, yetkisiz kişilere cihazların web yönetim arayüzüne tam yönetici erişimi sağlama potansiyeli taşıyor.

Tenda Yönlendirici Arka Kapısının Teknik İşleyişi

CERT/CC tarafından CVE-2026-11405 koduyla takip edilen bu güvenlik açığı, standart şifre doğrulama süreçlerini atlatarak tam yönetici kontrolüne olanak tanıyor. Güvenlik açığının çekirdeği, yönlendiricinin /bin/httpd web sunucusu ikili dosyasındaki login() fonksiyonunda bulunuyor. Normalde, bu fonksiyon MD5 tabanlı bir şifre doğrulama yolu izleyerek kullanıcı kimliğini teyit eder. Ancak, kimlik doğrulamanın başarısız olması durumunda devreye giren alternatif bir kod yolu keşfedildi.

Bu alternatif yol, cihazın yapılandırmasından GetValue(“sys.rzadmin.password”) çağrısı ile gizli bir alternatif şifre değeri çekiyor. Bu çağrı, genellikle cihazın kalıcı bellek (NVRAM) veya yapılandırma dosyaları gibi depolama alanlarından “rzadmin” ön ekiyle ilişkilendirilmiş özel bir şifre değerini alır. Bu değer, muhtemelen cihazın üretim aşamasında yerleştirilmiş veya özel bir bakım hesabı için düşünülmüş, ancak son kullanıcılar için erişilebilir olmayan bir koddur. Daha sonra, kullanıcının girdiği şifre ile bu yapılandırmada saklı olan değer arasında doğrudan, düz metin bir karşılaştırma yapılıyor. Eğer bu değerler eşleşirse, uygulama kullanıcıya yönetici düzeyinde erişim (role=2) sağlıyor ve yüksek ayrıcalıklara sahip geçerli bir oturum oluşturuyor. Buradaki role=2 değeri, genellikle bir web yönetim arayüzünde en yüksek yetki seviyesini temsil eder, bu da saldırganın tüm ağ ayarlarını, güvenlik duvarı kurallarını, Wi-Fi yapılandırmalarını ve hatta cihazın firmware’ini değiştirebileceği anlamına gelir. Daha da endişe verici olan, “rzadmin” ile ilişkilendirilen kullanıcı adının doğrulanmamasıdır; yani, arka kapı şifresiyle birlikte herhangi bir kullanıcı adı kullanıldığında erişim başarılı olabiliyor.

Bu, saldırganların geçerli yönetici hesabı kimlik bilgilerine sahip olmasa bile, standart kullanıcı adı doğrulamasını aşarak cihazın web arayüzüne tam yönetici erişimi elde edebileceği anlamına geliyor. Bu teknik zaafiyet, aşağıdaki pseudo-kod ile daha net anlaşılabilir:

function login(username, password_input):
// Standart MD5 tabanlı kimlik doğrulama girişimi
if (authenticate_md5(username, password_input)):
return success_with_admin_role
else:
// Arka kapı kontrolü
secret_password = GetValue(“sys.rzadmin.password”) // Gizli şifreyi al
if (password_input == secret_password): // Düz metin karşılaştırma
// Kullanıcı adı kontrolü YOK
return success_with_admin_role_2 // Tam yönetici erişimi (role=2)
else:
return authentication_failed

Böyle bir erişim, yetkisiz uzaktan yapılandırma değişikliklerine, güvenlik özelliklerinin devre dışı bırakılmasına veya cihazın tamamen yeniden yapılandırılmasına yol açabilir. Nihayetinde bu durum, cihazın tamamen ele geçirilmesiyle sonuçlanabilir ve ağ güvenliği açısından ciddi riskler barındırır.

Etkilenen Firmware Sürümleri ve Cihaz Güvenliği

CERT/CC tarafından belirtilen bilgilere göre, bu arka kapı güvenlik açığı Tenda’nın birçok firmware sürümünü etkiliyor. Bu sürümler arasında dikkat çekenler şunlardır:

• US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD
• US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE
• US_AC10V1.0re_V15.03.06.46_multi_TDE01
• US_AC5V1.0RTL_V15.03.06.48_multi_TDE01
• US_AC6V2.0RTL_V15.03.06.51_multi_T

Bu listelenen sürümlere sahip Tenda yönlendiricileri kullanan tüm kullanıcılar, potansiyel bir saldırı riskine karşı savunmasız durumda. Anonim bir araştırmacı tarafından bildirilen bu zafiyetin, haberin yazıldığı an itibarıyla hala yamalanmamış olması durumu daha da kritik hale getiriyor. Güvenlik araştırmacıları, genellikle bu tür zafiyetleri kamuoyuna açıklarken, üreticilere belirli bir süre tanır ancak bu durumda yama yayınlanmaması kullanıcıları savunmasız bırakmıştır. Üreticiden henüz bir açıklama veya yama gelmemesi, kullanıcıların kendi güvenlik önlemlerini almasını zorunlu kılıyor.

Böyle bir gizli arka kapının varlığı, cihaz güvenliğine yönelik temel güveni sarsıyor. Bir ağ cihazında, tasarımsal olarak veya kasıtlı olarak bırakıldığı iddia edilen bir arka kapı, kullanıcıların verilerinin ve ağlarının bütünlüğünü doğrudan tehdit eder. Özellikle IoT cihazlarının ve ev ağlarının yaygınlaşmasıyla birlikte, bu tür zafiyetlerin keşfi, hem bireysel kullanıcılar hem de küçük işletmeler için büyük güvenlik riskleri oluşturmaktadır. Akıllı kameralar, termostatlar, akıllı prizler ve NAS (Network Attached Storage) cihazları gibi birçok IoT cihazı genellikle yönlendiriciye bağlıdır. Yönlendiricinin ele geçirilmesi, bu cihazlara da yetkisiz erişim sağlanmasına, kişisel verilerin çalınmasına, cihazın kötü amaçlı botnet’lere dahil edilmesi veya daha geniş çaplı ağ saldırılarında bir sıçrama tahtası olarak kullanılması gibi sonuçlar doğurabilir. Bu durum, tedarik zinciri güvenliğinin ne denli önemli olduğunu da gözler önüne sermektedir.

Kullanıcılar Tenda Yönlendiricilerinde Ne Yapmalı?

Mevcut durumda, Tenda’dan resmi bir yama veya güncelleme gelene kadar kullanıcıların proaktif adımlar atması büyük önem taşıyor. CERT/CC, kötü niyetli aktörlerin cihazlara ulaşmasını engellemek ve bilinen varsayılan IP aralıklarını hedefleyen otomatik tarayıcılar tarafından keşfedilme olasılığını azaltmak için iki temel tavsiyede bulunuyor. Öncelikle, kullanıcıların yönlendiricilerindeki uzaktan yönetim özelliğini derhal devre dışı bırakmaları gerekiyor. Bu işlemi yapmak için genellikle router’ın web arayüzüne (tarayıcınızda 192.168.0.1 veya 192.168.1.1 gibi adresleri yazarak) erişmeli, ‘Yönetim’ (Administration), ‘Güvenlik’ (Security) veya ‘Uzaktan Erişim’ (Remote Access) başlıkları altında bu özelliği bulup devre dışı bırakmalısınız. Uzaktan yönetim, cihazınıza internet üzerinden erişim sağlayan bir özellik olup, arka kapı üzerinden erişim sağlanması durumunda saldırı yüzeyini genişletir.

İkinci önemli adım ise, cihazın varsayılan LAN IP adresini değiştirmektir. Çoğu yönlendirici varsayılan olarak belirli IP adreslerini kullanır (örneğin, 192.168.1.1 veya 192.168.0.1). Kötü niyetli tarayıcılar bu varsayılan IP aralıklarını hedef alarak zafiyetleri tespit etmeye çalışır. Bu adresi değiştirmek, cihazınızın bu tür otomatik taramalarda daha az görünür olmasını sağlar. Bu ayar genellikle ‘LAN Ayarları’ (LAN Settings) veya ‘Ağ’ (Network) bölümünde bulunur. Örneğin, varsayılan 192.168.0.1 yerine 192.168.77.1 gibi daha az tahmin edilebilir bir IP adresi seçilebilir. Bu önlemler, tam bir çözüm olmasa da, potansiyel saldırganlar için erişim bariyerini yükselterek anlık riski önemli ölçüde azaltacaktır. Ek olarak, router’ın dahili güvenlik duvarı ayarlarını gözden geçirmek ve bilmediğiniz veya gereksiz tüm gelen bağlantı noktalarını (portları) kapatmak kritik önem taşır. Ağ güvenliğinin sürekli bir süreç olduğu düşünüldüğünde, bu tür güvenlik açıklarının ortaya çıkması, cihaz seçiminde ve yazılım güncellemelerinin takibinde ne kadar titiz olunması gerektiğini bir kez daha gösteriyor. Güvenlik endişeleri devam ediyorsa, daha güvenilir ve düzenli güvenlik güncellemeleri sunan markaların yönlendiricilerini değerlendirmek uzun vadede daha güvenli bir seçenek olabilir.