CVE-2026-121607: command injection critica su Qihoo 360

Il CVE-2026-121607 identifica una vulnerabilità di iniezione di comandi OS nella funzione testspeed_command del file /fs2/bin/iscm presente nei dispositivi di rete Qihoo 360 modelli D603-2, D600-2, D606-6 e D706 fino alla versione 6.4.9. La falla consente a un attaccante remoto di manipolare l'argomento host per eseguire comandi arbitrari con privilegi di sistema, ottenendo il controllo completo del dispositivo.

Il CVE-2026-121607 è stato assegnato un punteggio CVSS di 10,0 (critical), il valore massimo possibile. Secondo i dati ufficiali, l'exploit è stato reso pubblico e risulta già distribuito. Il vendor Qihoo 360 è stato avvisato tempestivamente ma non ha fornito alcuna risposta formale al disclosure. La vulnerabilità è stata pubblicata il 4 novembre 2026 senza contromisure disponibili.

Gli amministratori di sistema e i CISO che gestiscono ambienti con dispositivi Qihoo 360 dei modelli interessati devono procedere con urgenza: verificare immediatamente le versioni in produzione, prepararsi ad applicare patch di sicurezza non appena rese disponibili dal vendor, e nel frattempo implementare controlli di accesso amministrativo ristretti e monitoraggio attivo dei log per rilevare tentativi di sfruttamento della funzione testspeed_command.