Asus закрыла три опасные уязвимости в прошивке роутеров

Подробно

Какие уязвимости в роутерах Asus закрыты?

В записях Asus, которая сама выступает CNA (организацией, присваивающей CVE), описаны три проблемы. Все записи опубликованы 23.10.2026.

• CVE-2026-75775 (7,7 балла). Внедрение команд ОС (CWE-78). По описанию Asus, специально сформированные параметры позволяют выполнять произвольные команды с правами root, пока роутер находится в заводском состоянии. По вектору CVSS 4.0 атака возможна из соседней сети, права и действия пользователя не нужны, но есть дополнительные условия эксплуатации.
• CVE-2026-75779 (8,6 балла). Сочетание внедрения команд ОС (CWE-78) и межсайтовой подделки запроса, CSRF (CWE-352). Злоумышленник может заманить вошедшего в панель управления администратора на фишинговый сайт, после чего роутер выполнит произвольные команды с правами root. Атака возможна через сеть, но требует действия пользователя.
• CVE-2026-93489 (8,7 балла). Нарушение аутентификации (CWE-287). Неаутентифицированный пользователь в соседней сети может отправить HTTP-запрос, подделать билет доступа и затем выполнять административные операции. Взаимодействие с пользователем не требуется.

Обнаружение двух первых уязвимостей Asus приписала исследователю под псевдонимом MrBruh. Уязвимости были зарезервированы 18.08.2026 (CVE-2026-75775 и CVE-2026-75779) и 18.09.2026 (CVE-2026-93489).

Какие роутеры Asus затронуты и критичны ли уязвимости?

Во всех трёх записях затронутым продуктом указан ASUS Router, версия - серия прошивок 3.0.0.6_102. Для остальных версий задан статус unaffected. Конкретные модели и аппаратные ревизии Asus в доступных материалах не перечислила. Поэтому нельзя утверждать, что уязвимы все роутеры Wi-Fi 7 или какая-то отдельная модель. Иллюстрация к материалу Notebookcheck с моделью ROG Rapture GT-BN98 не подтверждает, что она входит в число затронутых.

Некоторые издания, включая Notebookcheck, называют уязвимости критическими. Официальные оценки CVSS 4.0 для всех трёх - High (7,7, 8,6 и 8,7). Значений от 9,0 до 10,0, которые соответствуют уровню Critical, в записях нет. При этом оценка риска остаётся серьёзной: во всех трёх случаях указан высокий ущерб для конфиденциальности, целостности и доступности устройства.

Служба реагирования CSIRT Italia 23.10.2026 сообщила о выпуске обновлений Asus для нескольких моделей роутеров. Системное воздействие она оценила как высокое - 65,0 - и рекомендовала обновить уязвимые устройства.

Эксплуатировались ли уязвимости в реальных атаках?

Подтверждений нет. В оценке SSVC, которую CISA зафиксировала 23.10.2026 для CVE-2026-75779 и CVE-2026-93489, указано: эксплуатация не зафиксирована, автоматизация атаки невозможна, технический ущерб полный. Эта отметка отражает состояние записи на момент оценки и не гарантирует, что неизвестных атак нет. Публичного кода эксплойта и независимого технического разбора уязвимостей не найдено, сведения основаны на бюллетене производителя и записях CVE.

Как обновить прошивку роутера Asus?

Асус советует несколько способов.

• Приложение ASUS Router. Откройте Settings → Firmware Upgrade → Check Firmware Version и выберите Upgrade Now или Update. Устройства AiMesh выключать нельзя, процесс занимает около трёх минут, после чего устройства перезагружаются.
• Веб-интерфейс. Подключитесь к роутеру, откройте его LAN-адрес в браузере, войдите и проверьте обновление в разделе Administration → Firmware Upgrade. Во время установки роутер выключать нельзя.
• Ручная загрузка. Если автоматическая проверка недоступна, скачайте последнюю прошивку для точной модели с официального сайта, распакуйте файл и загрузите его через Administration → Firmware Upgrade → Upload.

В заявлении ASUS PSIRT говорится:

«Мы призываем клиентов принимать важные меры безопасности: следовать лучшим практикам, поддерживать продукты в актуальном состоянии и устанавливать последние обновления прошивок и программ».

Что делать, если обновиться сразу нельзя?

По данным Notebookcheck, в качестве временных мер Asus рекомендует:

• задать уникальные пароли длиной не менее 10 символов для панели управления и Wi-Fi;
• отключить удалённый доступ из WAN;
• подключать к сети только доверенные устройства.

Эти меры снижают риск, но не заменяют установку исправления.

Были ли у Asus похожие уязвимости раньше?

Да, за последние недели Asus раскрыла несколько проблем в роутерах.

• 01.10.2026. CVE-2026-14157 позволяла выполнять команды через специально подготовленную конфигурацию VPN. CVE-2026-13313 позволяла включать Telnet и выполнять команды с правами root. Для неё названы ветки 3.0.0.4_386, 3.0.0.4_388 и 3.0.0.6_102.
• 20.10.2026. CVE-2026-17518 - переполнение буфера и отказ в обслуживании (8,2 балла CVSS 4.0). CVE-2026-75753 - отсутствие аутентификации критической функции (5,3 балла).