CVE-2026-121609: Credenziali Hardcoded nel Qihoo 360 Router M5

CVE-2026-121609 identifica credenziali hardcoded nel file /etc/init.d/mpt del Qihoo 360 Whole Home Router M5 versione 4.0.17.1566, specificamente nella funzione Home del componente Boot Script. La manipolazione di questi dati consente accesso remoto non autorizzato al dispositivo router, interessando utenti domestici e ambienti che adottano questo modello.

La vulnerabilità ha CVSS 10,0 (massima gravità) ed è classificata come critical. L'exploit è pubblicamente disponibile e potrebbe essere già sfruttato. Il fornitore è stato contattato durante la divulgazione ma non ha risposto. NVD ha ufficialmente pubblicato il CVE il 4 novembre 2026, confermando la minaccia.

Gli amministratori devono verificare immediatamente se il Qihoo 360 Router M5 versione 4.0.17.1566 è distribuito nei loro ambienti. Si consiglia di contattare Qihoo per update di sicurezza, isolare il dispositivo dalla rete se non è disponibile patch, monitorare i log di accesso per attività anomale, e considerare il passaggio a router con patch di sicurezza applicate. In ambito aziendale, valutare l'impatto sulla rete perimetrale.