Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Zyxel opravuje 3 zraniteľnosti

Zyxel opravuje 3 zraniteľnosti v konkrétnych verziách firmvéru nasledujúcich produktov: - ATP - USG FLEX - USG FLEX 50(W)/USG20(W)-VPN - AP - FWA7 - Security Routers Prehľadnú tabuľku všetkých opravených verzií a príslušných zariadení nájdete na [1][2].

Zyxel ATP, USG FLEX - vykonanie príkazov (CVE-2026-14818)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s právami administrátora je kvôli zraniteľnosti typu path traversal umožnené spustiť podvrhnutý škodlivý konfiguračný súbor na postihnutom zariadení [1][3].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-14818 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 4. 8. 2026.

Zyxel APs, FWA7, Security Routers - injekcia príkazov (CVE-2026-6837)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s právami administrátora je kvôli nedostatočnému ošetreniu vstupu v programe CGI „export-cgi“ umožnené spustiť ľubovoľné príkazy operačného systému na postihnutom zariadení [2][4].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-6837 na cve.org, NVD
  • CWE-78: Improper neutralization of special elements used in an OS command ('OS command injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 4. 8. 2026.

Zyxel APs, FWA7, Security Routers - obídenie autentizácie (CVE-2026-8508)
CVSS 6.5 (Medium)

Neautentizovanému útočníkovi v dosahu WLAN je kvôli nesprávnemu overovaniu v programe CGI „social_login.cgi“ umožnené obísť autentizáciu captive portálu [2][5].

CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 8. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 4. 8. 2026.

CESNET, z.s.p.o. Logo