Des chercheurs de VulnCheck ont identifié dans le firmware officiel de plusieurs routeurs Zbtlink un composant capable d'ouvrir un shell root sans authentification. Le constructeur assure qu'il s'agit d'un outil de maintenance, mais la manière dont il fonctionne pousse les chercheurs à conseiller le remplacement des appareils concernés.
Une simple vulnérabilité logicielle peut généralement être corrigée par une mise à jour. Ici, le problème est plus délicat : le mécanisme, baptisé ENDLESSDOORS par les chercheurs de VulnCheck, est directement intégré au firmware de plusieurs routeurs et se lance automatiquement au démarrage.
Les chercheurs ont d'abord repéré le composant sur un routeur Zbtlink AX3000, modèle Z8102AX-2DSIM, acheté sur Alibaba (et disponible sur Amazon en France), avant d'étendre leur analyse aux firmwares distribués par le fabricant. Résultat : 21 images de firmware correspondant à 20 modèles différents contenaient le même implant de contrôle à distance.
Le phénomène pourrait être loin d'être marginal. La Cloud Security Alliance rapporte que VulnCheck estime à plus de 100 000 le nombre d'appareils concernés actuellement en service dans le monde, sous les marques Zbtlink, ZBT, Wiflyer et ZBTWiFi, notamment vendus via des plateformes comme Amazon et Alibaba.
Un routeur qui contacte lui-même un serveur distant
ENDLESSDOORS fonctionne de manière particulièrement problématique. Une fois le routeur démarré, le composant tente régulièrement de contacter des serveurs distants dont les adresses sont intégrées au firmware.
La connexion ne bénéficie ni d'un véritable mécanisme d'authentification ni d'un chiffrement adapté. Une fois établie, elle peut permettre l'exécution de commandes avec les privilèges les plus élevés du système, voire l'ouverture d'un shell root interactif. VulnCheck est parvenu à reproduire ce comportement sur le matériel analysé et a attribué au problème la référence CVE-2026-66747, avec un score de sévérité CVSS de 9,3 sur 10.
Le composant cherche par ailleurs à se faire discret. Il repose sur une version personnalisée de rctl, un ancien outil open source publié sur GitHub en 2015, et se lance sous le nom kworker. Ce choix lui permet de se fondre parmi les véritables threads noyau Linux portant le même nom, alors qu'il s'agit en réalité d'un processus utilisateur exécuté avec les privilèges root. Le fonctionnement rend également les protections classiques moins efficaces. Le routeur initiant lui-même la communication vers l'extérieur, un pare-feu ou le NAT du réseau ne suffisent pas nécessairement à bloquer l'accès.
Autre difficulté : l'absence d'authentification signifie que le contrôle n'est pas nécessairement réservé à l'opérateur du serveur attendu. Un attaquant capable de détourner la résolution DNS, le routage réseau ou de récupérer le contrôle d'un domaine utilisé par l'implant pourrait théoriquement se faire passer pour cette infrastructure et obtenir à son tour un accès root.
Zbtlink conteste le terme de « backdoor »
La question de l'intention du fabricant reste toutefois ouverte. Zbtlink conteste la qualification de porte dérobée et présente ce composant comme un outil de maintenance et de débogage à distance, initialement destiné à certaines unités de démonstration.
Cette explication ne change pas réellement le problème technique. Un outil de support disposant d'un accès root sans authentification et présent dans des firmwares destinés à des appareils commercialisés constitue, quelle que soit son origine, une importante surface d'attaque. VulnCheck a d'ailleurs choisi de publier ses travaux sans passer par une divulgation coordonnée avec le fabricant, une décision inhabituelle. Les chercheurs estiment que la présence répétée du composant dans de nombreux firmwares, son lancement automatique et son camouflage parmi les processus système rendent difficile l'hypothèse d'une simple vulnérabilité accidentelle.
Comment savoir si son routeur est concerné ?
Parmi les modèles dans lesquels ENDLESSDOORS a été vérifié figurent notamment les CPE2801, WE2007, WE5931, WG259, WG3526 et Z8102AX-2DSIM. VulnCheck a publié la liste des modèles et versions de firmware examinés, sans pour autant garantir que toutes les variantes commercialisées par les différents revendeurs soient couvertes.
Pour un particulier, la première vérification consiste à relever la référence exacte de l'appareil, généralement inscrite sur l'étiquette du boîtier, ainsi que la version du firmware disponible dans son interface d'administration, puis à comparer ces informations aux données fournies par les chercheurs.
L'exercice est plus délicat pour les appareils rebadgés. Zbtlink exerce une activité OEM/ODM et certains de ses matériels sont commercialisés notamment sous les marques Wiflyer, ZBT ou ZBTWiFi. La référence commerciale peut donc être différente alors que le matériel ou le firmware reste très proche, voire identique.
VulnCheck fournit également plusieurs éléments permettant aux administrateurs réseau de rechercher ENDLESSDOORS, notamment les domaines, adresses IP de commande et de contrôle et règles de détection réseau associés à l'implant.
Dans ce contexte, changer le mot de passe administrateur ne suffira pas : le problème se situe directement dans le firmware et dispose déjà des privilèges root. C'est précisément ce qui rend ENDLESSDOORS beaucoup plus préoccupant qu'une vulnérabilité classique de routeur.
Depuis la publication de l'étude, Zbtlink a suspendu les téléchargements de firmware le temps de corriger les problèmes de sécurité, tout en maintenant qu'ENDLESSDOORS n'est pas une porte dérobée intentionnelle. VulnCheck recommande de son côté de segmenter les appareils concernés du reste du réseau et, lorsque des données sensibles transitent par ces équipements, de remplacer purement et simplement le routeur.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.