Tenda-Router mit versteckter Hintertür: Ungepatchte Schwachstelle ermöglicht Admin-Zugriff

Seit Anfang Juli warnt das CERT Coordination Center (CERT/CC) vor einer kritischen Sicherheitslücke in Routern des chinesischen Herstellers Tenda. Die als CVE-2026-11405 klassifizierte Schwachstelle ermöglicht es Angreifern, die administrative Kontrolle über mehrere Modelle der FH1201-, W15E-, AC10-, AC5- und AC6-Routerfamilien zu erlangen – und das ohne gültige Anmeldedaten. Obwohl das US-amerikanische Sicherheitszentrum den Hersteller bereits kontaktiert hat, steht eine offizielle Patch-Lösung weiterhin aus.

Eine versteckte Login-Funktion mit gefährlichen Konsequenzen

Die Schwachstelle liegt in einer undokumentierten Authentifizierungsroutine in der Firmware der betroffenen Router. Normalerweise prüft das Gerät die eingegebenen Anmeldedaten über eine MD5-basierte Prüfung. Fällt diese Überprüfung negativ aus, wechselt die Firmware jedoch unsichtbar zu einem zweiten Authentifizierungspfad. Statt den Login-Versuch abzulehnen, vergleicht das System das eingegebene Passwort mit einem intern gespeicherten Wert unter dem Schlüssel sys.rzadmin.password. Stimmen beide überein, wird automatisch eine administrative Sitzung mit vollen Rechten eröffnet – und das unabhängig vom eingegebenen Benutzernamen.

Diese Funktionsweise erinnert an klassische Backdoor-Mechanismen: Die Schwachstelle ist kein Implementierungsfehler, sondern ein separater, nicht dokumentierter Login-Pfad. Ob dieser bewusst integriert oder als Entwicklungsartefakt übersehen wurde, bleibt unklar. Das CERT/CC zieht bewusst keine Schlüsse zur Absicht hinter dieser Lücke, und Tendas bisherige Untätigkeit lässt Raum für Spekulationen.

Mögliche Angriffsvektoren und schwerwiegende Folgen

Bei erfolgreicher Ausnutzung erhalten Angreifer uneingeschränkten Zugriff auf die Router-Konfiguration. Die möglichen Konsequenzen sind weitreichend:

• - Umleitung des Datenverkehrs: Angreifer könnten DNS-Server ändern, um den Internetverkehr von Geräten im lokalen Netzwerk auf schädliche Server umzuleiten.
• - Deaktivierung von Sicherheitsfunktionen: Firewalls, Port-Forwarding oder andere Schutzmechanismen lassen sich deaktivieren.
• - Manipulation der Netzwerkeinstellungen: Wi-Fi-Passwörter, IP-Adressen oder DHCP-Einstellungen können ohne Einschränkung geändert werden.
• - Installation weiterer Hintertüren: Kriminelle könnten zusätzliche Remote-Zugriffsmöglichkeiten aktivieren oder Administrator-Konten anlegen.

Da Router als zentrale Knotenpunkte für lokale Netzwerke fungieren, kann eine Kompromittierung eines einzelnen Geräts die Sicherheit aller verbundenen Systeme gefährden. Selbst Firmware-Updates bieten in diesem Fall keinen Schutz, da die Schwachstelle tief in der Gerätesoftware verankert ist.

Empfohlene Sofortmaßnahmen und Herstellerverantwortung

Bis zur Veröffentlichung eines offiziellen Patches rät das CERT/CC zu folgenden Vorsichtsmaßnahmen:

• - Deaktivierung des Remote-Managements: Der administrative Zugriff über das Internet sollte dringend deaktiviert werden, um Angreifern den direkten Zugang zu verwehren.
• - Einschränkung der Netzwerk-Exposition: Ein Wechsel der Standard-LAN-IP-Adresse kann automatisierte Scans erschweren, bietet jedoch keinen vollständigen Schutz vor gezielten Angriffen.
• - Regelmäßige Überprüfung der Router-Konfiguration: Netzwerkadministratoren sollten verdächtige Änderungen wie neue Administrator-Konten oder ungewöhnliche DNS-Einstellungen umgehend untersuchen.

Tendas bisheriges Schweigen unterstreicht die Herausforderungen im Umgang mit globalen Lieferketten. Die Situation erinnert an frühere Warnungen der Federal Communications Commission (FCC), die im März 2024 bestimmte aus dem Ausland stammende Netzwerkgeräte von der Einfuhr in die USA ausschloss. Die Behörde begründete dies mit den Risiken kompromittierter Geräte, die Angreifern als Einfallstor in private und geschäftliche Netzwerke dienen könnten. Die aktuelle Lücke bei Tenda zeigt, wie real diese Bedrohung ist – insbesondere, wenn Hersteller auf Sicherheitswarnungen nicht reagieren.

Ausblick: Wann kommt ein Patch – und wie können Nutzer sich schützen?

Ohne ein Update von Tenda bleibt nur die Hoffnung auf zeitnahe Lösungen von Drittanbietern oder Community-Initiativen. Bis dahin ist Vorsicht geboten: Nutzer sollten ihre Router-Konfigurationen genau prüfen und verdächtige Aktivitäten umgehend melden. Die Schwachstelle unterstreicht einmal mehr, wie wichtig Transparenz und schnelle Reaktionen von Herstellern in der Cybersecurity-Branche sind. Solange solche Hintertüren unentdeckt bleiben, bleibt die Sicherheit vernetzter Geräte ein fragiles Konstrukt.