A fabricante de equipamentos de rede DrayTek publicou correções para onze vulnerabilidades em modelos VigorAP e trinta falhas em VigorSwitches, incluindo três vulnerabilidades críticas que permitem execução remota de comandos com privilégios de root e modificação não autorizada de configurações.
As falhas CVE-2026-71914 e CVE-2026-71921 (CVSS não informado) existem em VigorAP e permitem que atacantes não autenticados executem comandos do sistema operacional com privilégios de root, conforme comunicado da DrayTek. Para isso, é necessário enviar uma mensagem ou entrada especialmente preparada para o dispositivo de rede. A terceira vulnerabilidade crítica, CVE-2026-71933, afeta um grande número de modelos VigorSwitch e permite que um atacante remoto modifique a configuração, reinicie serviços e limpe arquivos de log.
Impacto e correções
A exploração da maioria das vulnerabilidades exige que o atacante tenha acesso administrativo à interface web, segundo a DrayTek. O impacto dessas falhas foi avaliado no nível “alto”. No entanto, as três vulnerabilidades identificadas como críticas não exigem autenticação prévia, o que amplia significativamente o risco para organizações que utilizam os equipamentos afetados.
