CVE-2026-120239: OS Command Injection in WAVLINK WN553X1-B

CVE-2026-120239 identifica una vulnerabilità critica di iniezione di comandi OS nel dispositivo WAVLINK WN553X1-B versione V260403_2.0.0. La falla risiede nel file /bin/ioos, componente WireGuard CLI Handler, dove la manipolazione dell'argomento file_id consente l'esecuzione remota di comandi arbitrari. Tutti gli amministratori con dispositivi WAVLINK WN553X1-B in produzione devono considerare questa una minaccia immediata.

Il punteggio CVSS è 9,9, classificazione critical, il massimo livello di rischio. L'exploit è stato reso pubblico e può essere utilizzato da malintenzionati. Il vendor WAVLINK è stato contattato in anticipo sulla divulgazione, ma al momento non è disponibile una patch ufficiale. Nei canali X sono stati registrati segnali iniziali di discussione sulla vulnerabilità.

In difesa, gli amministratori devono isolare i dispositivi WAVLINK WN553X1-B dalla rete se non imprescindibili, controllare gli accessi remoti ai dispositivi e monitorare attivamente il traffico verso il file /bin/ioos per rilevare tentativi di sfruttamento. Contattare immediatamente WAVLINK per chiedere lo stato della patch e applicarla non appena disponibile. In alternativa, valutare la sostituzione del dispositivo con hardware di vendor con track record di sicurezza più consolidato.