CVE-2026-17176

OS Command Injection Vulnerability in Deco Devices

CVSS 3.1High

7.7/ 10.0

Опубликовано

10 сентября 2026 г.

Обновлено

1 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.3.5 Build 26071712, 1.9.2 Build 20260818

Обновить микропрограмму устройств Deco BE11000 и Deco M9 Plus до актуальной версии с исправлением TDDP.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Инъекция команд ОС в модуле TDDP устройств Deco BE11000 и M9 Plus позволяет смежному атакующему получить root-доступ.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Служба TDDP обрабатывает входящие UDP-пакеты из локального сетевого сегмента без надлежащей экранизации спецсимволов командного процессора ОС.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Полная компрометация роутера: выполнение произвольных команд с правами root, изменение настроек и перехват трафика.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

TP-Link Systems Inc.Deco BE11000 V2

>= 0➔Fix: 1.3.5 Build 26071712

TP-Link Systems Inc.Deco M9 Plus V2

>= 0➔Fix: 1.9.2 Build 20260818

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

www.tp-link.comhttps://www.tp-link.com/us/support/download/deco-be11000/#Firmware
www.tp-link.comhttps://www.tp-link.com/en/support/faq/5293/
www.tp-link.comhttps://www.tp-link.com/en/support/download/deco-m9-plus/v2/
www.tp-link.comhttps://www.tp-link.com/us/support/download/deco-m9-plus/v2/#Firmware

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-17176: OS Command Injection Vulnerability in Deco Devices. URL: https://cve.futuretools.ru/cve/CVE-2026-17176

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_17176,
  title = {{CVE-2026-17176: OS Command Injection Vulnerability in Deco Devices}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-17176}},
  note = {Оперативный инженерный анализ киберугроз}
}