Zyxel, 20 Ekim 2026’da bazı 5G NR CPE, DSL/Ethernet CPE, fiber ONT ve kablosuz genişletici (Wi-Fi extender) modellerini etkileyen bir güvenlik duyurusu yayımladı. CVE-2026-12489 numaralı açık, cihaza kimliği doğrulanmış biçimde erişen bir kullanıcının, cihazın veri erişim katmanındaki (DAL) login_privilege verisini değiştirerek yetkisini yükseltmesine izin veriyor. Üretici, etkilenen her model için ayrı yama sürümü duyurdu.
Ne oldu
Duyuruya göre sorun bir yetkilendirme hatası: cihazın veri erişim katmanı, oturum açmış kullanıcının kendi yetki düzeyini tanımlayan veriyi değiştirmesine engel olmuyor. Sınırlı yetkili bir hesapla cihaza giren kullanıcı, bu yolla yönetici düzeyine çıkabiliyor. Zyxel’in duyurusunda CVSS puanı, CWE sınıfı, bildiren araştırmacı ve istismar durumu yer almıyor; bu bilgiler haberin yazıldığı saatte üretici kaynağında yok.
Açık uzaktan ve kimlik doğrulamasız bir saldırı değil; ön koşul, cihazda geçerli bir hesap. Ancak servis sağlayıcı tarafından son kullanıcıya verilen cihazlarda son kullanıcı hesabı çoğu zaman sınırlı yetkilidir ve sağlayıcıya ait yönetim ayarları bu sınırla korunur. Yetki yükseltme, bu ayrımı ortadan kaldırıyor.
Kimleri etkiler
Etkilenen ürünler dört grupta: 5G NR CPE’ler, DSL/Ethernet CPE’ler, fiber ONT’ler ve kablosuz genişleticiler. Duyurudaki tablo her model için etkilenen bellenim sürümünü ve yama sürümünü veriyor; örneğin NR7303 için 1.00(ACEI.3)C0 sürümü etkileniyor ve 1.00(ACEI.4)C0 ile düzeltiliyor, EX5510-B0 için 5.17(ABQX.11.2)C0 etkileniyor ve 5.17(ABQX.11.3)C0 ile düzeltiliyor. Zyxel, tabloda yer almayan ürünlerin etkilenmediğini açıkça belirtiyor.
Bu cihaz sınıfı ağırlıkla servis sağlayıcıların abonelerine dağıttığı ürünlerden oluşuyor; dolayısıyla asıl muhatap sağlayıcılar. Kurumsal tarafta ise şubelerde, küçük ofislerde ya da yedek internet hattında kullanılan 5G ve DSL modemler kapsama girebilir. Modelin ve bellenim sürümünün duyurudaki tabloyla karşılaştırılması gerekiyor.
Üretici ne öneriyor
Zyxel’in önerisi, etkilenen modellerde duyuruda belirtilen yama sürümüne geçmek. Yama dosyaları bu ürün grubunda genel indirme sayfasında değil; üretici, dosyanın Zyxel satış temsilcisinden ya da destek ekibinden alınmasını istiyor. Servis sağlayıcı tarafından yönetilen cihazlarda güncelleme çoğunlukla sağlayıcı üzerinden yapılır; bu durumda sağlayıcıya başvurmak gerekiyor.
Duyurunun tamamı ve model bazlı sürüm tablosu yan sütundaki bağlantıda. Zyxel, duyurunun ilk sürümünü 20 Ekim 2026’da yayımladı; değişiklikler aynı sayfadaki sürüm geçmişine işlenecek.
