CVE-2026-121606: bypass firma firmware Qihoo 360

Il CVE-2026-121606 identifica una vulnerabilità critica nella funzione verify_sign del componente di verifica della firma firmware (fs2/bin/iscm) nei dispositivi Qihoo 360 modelli D621-2, D603-2, D600-2, D619, D606-6 e D706 fino a versione 6.4.9. Un attaccante remoto può manipolare l'argomento 'sign' per aggirare i controlli crittografici della firma, permettendo l'installazione di firmware falsificato su questi dispositivi. Questo tipo di bypass espone le infrastrutture di rete a compromissione totale.

La vulnerabilità ha ricevuto il punteggio CVSS 10,0, la valutazione massima di gravità, ed è dichiarata Critical. L'exploit è stato pubblicamente divulgato e può essere utilizzato da attaccanti remoti. Il vendor Qihoo è stato contattato tempestivamente ma non ha fornito alcuna risposta. Ad oggi non esiste patch disponibile. I segnali social su X documentano 2 post in 24 ore con 27 interazioni, indicando consapevolezza diffusa tra i professionisti della sicurezza.

Gli amministratori e i team di sicurezza devono identificare immediatamente tutti i dispositivi Qihoo 360 nelle loro infrastrutture e verificare il numero di versione. Finché non sarà disponibile una patch dal vendor, si consiglia il monitoraggio costante del comportamento firmware, la creazione di log dettagliati e l'isolamento da reti critiche quando possibile. Contattare regolarmente il vendor per richiedere aggiornamenti sulla disponibilità della correzione e informazioni su eventuali mitigazioni temporanee.