Tenda Router Yazılımlarında Gizli Yönetici Arka Kapısı Tehdidi

Ağ cihazı üreticisi Tenda’nın bazı router modellerinde, kullanıcıların cihaz web yönetim arayüzüne tam yetkili erişim sağlamasına olanak tanıyan belgelenmemiş bir kimlik doğrulama arka kapısı keşfedildi. Bu ciddi Tenda router güvenlik açığı, siber güvenlik uzmanlarını alarma geçirmiş durumda ve potansiyel olarak milyonlarca cihazı tehlikeye atabilecek bir riski beraberinde getiriyor. Uzmanlar, saldırganların geçerli kimlik bilgileri olmadan tam yönetici kontrolünü ele geçirebileceği konusunda uyarıyor.

Güvenlik Açığının Teknik Detayları ve İşleyişi

Keşfedilen bu arka kapı, CVE-2026-11405 kimlik numarasıyla takip ediliyor ve Tenda firmware’inin çeşitli sürümlerinde bulunuyor. Sorun, cihazın web sunucusu ikilisi olan /bin/httpd içindeki login() fonksiyonunda gizli. Normalde bu fonksiyon, MD5 tabanlı parola doğrulama ile çalışır. Ancak, doğrulama başarısız olduğunda alternatif bir kod yolu devreye giriyor. Bu durum, sisteme kötü niyetli erişim girişiminde bulunanlar için kritik bir fırsat sunuyor.

Alternatif kod yolu, cihaz konfigürasyonundan GetValue(“sys.rzadmin.password”) çağrısı yaparak özel bir parola değeri çekiyor. Ardından, kullanıcının girdiği parola ile bu konfigürasyonda kayıtlı değer arasında doğrudan bir düz metin karşılaştırması yapılıyor. Eğer bu iki değer eşleşirse, uygulama yönetici düzeyinde erişim (rol=2) sağlıyor ve yüksek ayrıcalıklara sahip geçerli bir oturum oluşturuyor. Daha da endişe verici olanı, bu arka kapı aracılığıyla giriş yapıldığında “rzadmin” kullanıcı adının doğrulanmamasıdır; yani, bu özel arka kapı parolasıyla eşleştirildiğinde herhangi bir kullanıcı adı kabul ediliyor. Bu mekanizma, hiçbir yönetim arayüzünde belgelenmemiş veya görünür değildir.

Bu arka kapının varlığı, genellikle cihaz geliştiricileri tarafından hata ayıklama (debugging) veya üretim hattı testleri sırasında bırakılan bir “geliştirici arka kapısı” senaryosunu akıllara getiriyor. Ancak, bu tür bir arka kapının ürün yazılımında kalması ve halka açık cihazlarda erişilebilir olması, ciddi bir güvenlik ihlali anlamına gelir. GetValue(“sys.rzadmin.password”) çağrısının değeri, genellikle cihazın kalıcı belleğinde (NVRAM) veya statik bir konfigürasyon dosyasında saklanır ve bu da yetkisiz kişilerin bu değeri keşfetmesi durumunda güvenlik açığını sürekli kılabilir. Saldırganlar, cihazın firmware’ini analiz ederek veya çeşitli parola tahmin yöntemlerini kullanarak bu gizli parolayı bulmaya çalışabilirler.

Güvenlik açığının işleyişi, temel olarak bir kimlik doğrulama baypasını içerir. login() fonksiyonu, bilinen kimlik doğrulama mekanizması (MD5 karma parolası) başarısız olduğunda, ikinci bir şans mekanizması olarak düz metin parolayı kontrol eder. Bu tasarım, kötü niyetli bir aktörün geçerli bir kullanıcı adı veya MD5 ile şifrelenmiş bir parola bilmesine gerek kalmadan doğrudan yönetici erişimi elde etmesine olanak tanır. Bir saldırgan, örneğin bir HTTP POST isteği ile özel arka kapı parolasını ve herhangi bir kullanıcı adını göndererek yetkili bir oturum oluşturabilir. Bu durum, cihazın tüm yönetim işlevlerine uzaktan tam yetkili erişim sağlar, ki bu da bir router için en üst düzeyde tehlikeli bir senaryodur.

Etkilenen Modeller ve Potansiyel Tehditler

Bu güvenlik açığından etkilenen Tenda router firmware sürümleri oldukça çeşitlidir. Tespit edilen sürümler arasında US_FH1201V1.0BR_V1.2.0.14(408)_EN_TD, US_W15EV1.0br_V15.11.0.5(1068_1567_841)_EN_TDE, US_AC10V1.0re_V15.03.06.46_multi_TDE01, US_AC5V1.0RTL_V15.03.06.48_multi_TDE01 ve US_AC6V2.0RTL_V15.03.06.51_multi_T gibi modeller yer alıyor. Bu geniş ürün yelpazesi, açığın potansiyel etkisinin ne denli geniş olabileceğini ortaya koyuyor.

Standart kullanıcı adı doğrulama sistemini atlatma imkanı sunan bu açıklık, saldırganlara cihazın web arayüzüne tam yönetici erişimi sağlıyor. Bu durum, yönetici hesabı kimlik bilgilerinin varlığından bağımsız olarak gerçekleşiyor. Bir saldırgan, bu erişimi kullanarak cihaz ayarlarını yetkisizce uzaktan değiştirebilir, güvenlik özelliklerini devre dışı bırakabilir veya cihazı tamamen yeniden yapılandırabilir. En kötü senaryoda ise, bu durum cihazın tamamen ele geçirilmesine yol açabilir ve ağ trafiği üzerinde tam kontrol sağlanmasına zemin hazırlayabilir.

Saldırganlar, yönetici erişimi elde ettikten sonra birçok kötü niyetli eylem gerçekleştirebilir. Örneğin, cihazın DNS ayarlarını değiştirerek kullanıcıları sahte (phishing) web sitelerine yönlendirebilir, HTTPS trafiğini bile manipüle edebilirler. Güvenlik duvarı kurallarını devre dışı bırakarak veya yeni portlar açarak ağ içindeki diğer cihazlara erişim sağlayabilirler. Wi-Fi ağının adını (SSID) değiştirmek, şifresini kaldırmak veya kötü amaçlı bir erişim noktası oluşturmak da mümkündür. Ayrıca, router’ı bir botnet’e dahil ederek DDoS saldırıları veya spam gönderme gibi faaliyetlerde kullanabilirler. Bu durum, sadece bireysel kullanıcılar için değil, aynı zamanda bu router’ları küçük ofis veya ev ofisi (SOHO) ortamlarında kullanan işletmeler için de ciddi riskler taşımaktadır.

Bu tür güvenlik açıkları, genellikle internete açık cihazları tarayan Shodan gibi arama motorları veya özel olarak geliştirilmiş tarayıcılar aracılığıyla keşfedilir. Kötü niyetli aktörler, bu tarayıcıları kullanarak belirli IP aralıklarındaki savunmasız Tenda router’ları kolayca tespit edebilirler. Tespit edilen cihazlara otomatik veya manuel olarak arka kapı parolasıyla giriş yapmaya çalışarak, geniş çaplı bir siber saldırı kampanyası başlatma potansiyeli bulunmaktadır. Bu nedenle, etkilenen kullanıcıların cihazlarını internetten izole etmeleri büyük önem taşımaktadır.

Kullanıcılar İçin Acil Önlemler ve İleri Adımlar

Anonim bir araştırmacı tarafından rapor edilen bu güvenlik açığı, yazıldığı tarih itibarıyla henüz giderilmiş değil. Bu, etkilenen Tenda router kullanıcılarının aktif bir tehdit altında olduğu anlamına geliyor. Güvenlik uzmanları, kötü niyetli aktörlerin cihazlara ulaşmasını engellemek ve bilinen varsayılan IP aralıklarını hedefleyen otomatik tarayıcılar tarafından keşfedilme olasılığını azaltmak için bazı acil önlemler alınmasını tavsiye ediyor.

Kullanıcıların öncelikle cihazlarındaki uzaktan yönetimi (remote management) devre dışı bırakmaları gerekiyor. Bu, dışarıdan gelebilecek yetkisiz erişim denemelerini büyük ölçüde kısıtlayacaktır. Uzaktan yönetimi kapatmak için, router’ın web arayüzüne yerel ağ üzerinden erişim sağlamanız ve genellikle “Yönetim” (Administration), “Güvenlik” (Security) veya “Gelişmiş Ayarlar” (Advanced Settings) menüsü altında bulunan “Uzaktan Yönetim” (Remote Management) veya “WAN Üzerinden Web Erişimi” (Web Access from WAN) seçeneğini bulup devre dışı bırakmanız gerekmektedir. Bu ayar genellikle HTTP ve HTTPS portları üzerinden dışarıdan erişimi kontrol eder.

İkinci bir adım olarak, cihazın varsayılan LAN IP adresinin değiştirilmesi öneriliyor. Çoğu Tenda router, varsayılan olarak 192.168.0.1 veya 192.168.1.1 gibi IP adreslerini kullanır. Bu adresleri, örneğin 192.168.100.1 veya 192.168.15.254 gibi daha az tahmin edilebilir bir değere değiştirmek, otomatik tarayıcıların cihazı hedef almasını zorlaştırarak ek bir güvenlik katmanı oluşturur. Bu değişikliği yapmak için yine router’ın web arayüzüne giriş yapmalı, “LAN Ayarları” (LAN Settings) veya “Ağ Ayarları” (Network Settings) bölümüne giderek router’ın IP adresini ve DHCP aralığını uygun şekilde güncellemeniz gerekir. Bu işlemden sonra, cihazı yeniden başlatmanız ve yeni IP adresi üzerinden erişim sağlamanız gerekebilir.

Tenda’dan henüz bir açıklama gelmemiş olsa da, kullanıcıların bu kritik adımları atarak olası tehditlere karşı kendilerini korumaları büyük önem taşıyor. Ek olarak, router’ınız için hala güçlü ve benzersiz bir yönetici parolası kullanmaya devam etmeniz, olası diğer zayıflıklara karşı bir önlem olacaktır. Mümkünse, ağınızdaki kritik cihazları (sunucular, NAS vb.) ayrı bir ağ segmentine almak veya bu cihazlara doğrudan internet erişimini kısıtlamak gibi daha gelişmiş güvenlik önlemleri de düşünebilirsiniz. En nihayetinde, eğer Tenda uzun vadede bir yama yayınlamazsa veya cihazınızın güvenliğinden endişe ediyorsanız, daha güvenilir ve düzenli güvenlik güncellemeleri sunan farklı bir router markasına geçmeyi değerlendirmek akıllıca olacaktır.