WAVLINK WN536AX6-A : trois failles CVSS 10 sans patch, RCE distant non authentifié

Les faits

Le 2 novembre 2026, la base VulDB a publié simultanément trois avis de sécurité critiques affectant le routeur Wi-Fi WAVLINK WN536AX6-A, firmware version V260507. Ces trois CVE touchent des composants distincts de l'interface d'administration du routeur et peuvent toutes être exploitées sans authentification depuis le réseau local ou, selon la configuration de l'exposition, depuis Internet.

La première et la plus sévère est CVE-2026-120281, notée CVSS 3.1 10.0. Il s'agit d'un stack buffer overflow dans le composant OpenVPN Handler, plus précisément dans la fonction strcpy du fichier /protocol.csp. L'argument openvpn_ip, fourni par l'utilisateur, est copié sans vérification de longueur dans un buffer de taille fixe alloué sur la pile. Un attaquant distant non authentifié peut dépasser ce buffer, écraser le pointeur de retour et exécuter du code arbitraire avec les privilèges du processus cible. La plateforme OffSeq confirme qu'un exploit public est disponible et référence un dépôt GitHub (github.com/F-yyjy/cve) comme source de la preuve de concept.

La deuxième faille, CVE-2026-120280, obtient également un score CVSS 10.0. Elle affecte le gestionnaire WireGuard du même endpoint /protocol.csp. Il s'agit d'une injection de commandes OS (CWE-78) : un paramètre non filtré est passé directement à un appel système, permettant l'exécution de commandes arbitraires au niveau du système d'exploitation sans authentification préalable.

La troisième, CVE-2026-120282, est évaluée à CVSS 9.9. Elle exploite la fonction host_black via une injection de commandes dans un autre sous-composant de l'interface d'administration. Bien que légèrement en dessous du score maximal, elle reste critique et exploitable sans authentification depuis le réseau.

Le vecteur d'attaque commun à ces trois CVE est : réseau (AV:N), complexité faible (AC:L), aucun privilège requis (PR:N), aucune interaction utilisateur (UI:N). En pratique, un attaquant disposant d'une visibilité réseau sur le port d'administration du routeur peut enchaîner ces vulnérabilités en quelques secondes pour prendre le contrôle complet de l'équipement.

À la date de publication de cet article, WAVLINK n'a publié aucun firmware correctif pour le WN536AX6-A. Les pages d'analyse OffSeq et Strix confirment que la version affectée V260507 reste sans correctif officiel. TheHackerWire indique pour sa part qu'aucun correctif n'est enregistré dans le catalogue KEV de la CISA, ce qui signifie qu'aucune exploitation active de masse n'a encore été signalée — mais la présence d'un PoC public change radicalement l'équation.

WAVLINK est un fabricant chinois dont les équipements sont largement déployés dans les environnements SOHO (Small Office / Home Office) en Europe, en Amérique du Nord et en Asie. Les routeurs Wi-Fi 6 de la gamme WN536 sont fréquemment installés dans des TPE, des agences, des hôtels et des logements universitaires. Cette large base installée, combinée à l'absence de patch et à la disponibilité d'un exploit public, crée une fenêtre d'exploitation particulièrement dangereuse.

Sur le plan réglementaire, la directive NIS2 impose aux entités essentielles et importantes de maintenir un inventaire des actifs réseau et de corriger les vulnérabilités critiques dans des délais définis. Un routeur non patché exposé sur Internet constitue un manquement direct à ces obligations de gestion des risques techniques.

Impact et exposition

Tous les appareils WAVLINK WN536AX6-A tournant sous le firmware V260507 sont affectés. Si l'interface d'administration est accessible depuis Internet (ports 80, 443 ou 8080 exposés), l'exploitation est possible sans interaction de l'utilisateur. Même en l'absence d'exposition directe, un attaquant ayant un accès au segment réseau local peut pivoter vers le routeur. Dans le pire des cas, la prise de contrôle du routeur permet la redirection DNS, l'interception du trafic, la création de tunnels VPN malveillants et la persistance au niveau de l'infrastructure réseau.

Recommandations

• Immédiat : vérifier si des WN536AX6-A sont présents dans votre parc réseau et désactiver l'accès à l'interface d'administration depuis Internet (désactiver la gestion à distance WAN).
• Segmenter l'accès à l'interface d'administration via un VLAN de gestion dédié, inaccessible depuis les zones utilisateurs.
• Surveiller les pages de support WAVLINK pour la publication d'un firmware correctif et appliquer la mise à jour dès disponibilité.
• Envisager le remplacement par des équipements maintenus activement si aucun patch n'est publié dans les 30 prochains jours.
• Contrôler les journaux DNS et DHCP pour détecter des comportements anormaux sur les segments couverts par ces routeurs.