D-Link confirme des zero-days sans correctif dans le protocole DDP de ses switchs DGS-3130

6 novembre 2026. D-Link publie des mesures d’atténuation pour plusieurs failles de sécurité non corrigées qui touchent ses switchs gérés empilables DGS-3130. Aucune CVE. L’éditeur n’a encore attribué aucun identifiant CVE aux failles, ni proposé de firmware correctif. DDP. Les défauts siègent dans le D-Link Discovery Protocol, le protocole de découverte propriétaire de la marque. Pourquoi c’est important : un attaquant déjà présent sur le LAN peut lire les données du switch, modifier sa configuration, voler les communautés SNMP ou provoquer des resets — et il n’existe pour l’instant que des contournements, pas de patch.

Des failles dans un protocole de découverte, pas dans la pile IP

Les vulnérabilités signalées touchent le D-Link Discovery Protocol (DDP) ainsi que « certains composants de l’architecture de sécurité du firmware », selon le communiqué de D-Link. Le DDP sert à la découverte et à la gestion initiale des équipements de la marque — un équivalent maison des protocoles de voisinage comme LLDP ou CDP, activé par défaut sur de nombreux appareils.

Les défauts couvrent trois fonctions du protocole : l’authentification, le contrôle d’accès et le traitement de l’information. Concrètement, une exploitation réussie permet à un attaquant disposant d’un accès au réseau affecté de :

• lire des données sensibles de l’équipement ;
• effectuer des opérations administratives non autorisées ;
• modifier la configuration ou les identifiants ;
• fuiter les communautés SNMP ;
• provoquer des interruptions de service ou des resets d’usine.

D-Link ne détaille ni le nombre exact de failles, ni leur mécanisme technique, ni la complexité d’exploitation. Ce que l’on sait, c’est qu’elles ont été découvertes par Giresh Kumar Enugu, ingénieur réseau chez Spectrum Community Solutions, et qu’elles touchent plusieurs versions de firmware du DGS-3130-30TS, un modèle à liaisons montantes multi-gigabit destiné aux PME et aux déploiements Ethernet métropolitain.

L’éditeur précise qu’il étudie encore l’impact sur d’autres plateformes de commutation et sur les mécanismes de sécurité du firmware, notamment la configuration de sécurité du service SSH, les identifiants du système d’exploitation sous-jacent, le chiffrement du firmware et les clés cryptographiques embarquées. Cette dernière mention est lourde de sens : une faille dans la gestion des clés embarquées ne se corrige pas forcément par un simple binaire.

Un protocole de découverte exposé par défaut

Pour comprendre la portée, il faut savoir ce que fait le DDP. C’est un protocole multicast qui permet à une console D-Link de découvrir les équipements de la marque présents sur un segment, puis d’en amorcer la configuration initiale — attribution d’adresse, mise en service, supervision. Conçu pour la commodité d’installation, il écoute en permanence sur l’interface, sans authentification forte, et reste généralement activé d’usine après le déploiement.

Or un protocole de découverte est précisément le genre de surface qu’on oublie d’auditer. On durcit SSH, on change les communautés SNMP, on segmente le VLAN de gestion — et on laisse le DDP répondre à n’importe quel hôte du segment. C’est cette asymétrie que les failles exploitent : le vecteur n’est pas la pile IP ni le plan de contrôle du switch, mais un service auxiliaire qu’aucune politique de sécurité ne mentionne jamais.

Le caractère empilable des DGS-3130 aggrave la situation. Ces switchs se relient entre eux par un backplane de stacking pour former une pile logique unique, gérée comme un seul équipement. Un attaquant qui compromet un membre de la pile accède au plan de contrôle de toute la pile — configuration, tables MAC, VLAN, QoS. La compromission d’un maillon faible de la pile revient à compromettre le châssis entier, une topologie en anneau typique des déploiements métropolitains.

Un scénario d’exploitation qui suppose déjà une présence sur le LAN

Le point rassurant — relatif — est le modèle de menace. L’attaquant doit déjà disposer d’un accès au réseau sur lequel le switch est déployé. Il ne s’agit pas d’une faille exploitable depuis Internet à travers le pare-feu, mais d’un mouvement latéral ou d’un poste compromis qui se retourne contre l’infrastructure de commutation.

Ce modèle n’enlève rien à la gravité. Un switch de cœur ou de distribution est un point d’observation privilégié : qui le contrôle peut capturer le trafic, rediriger les flux, insérer des équipements fantômes ou couper le réseau. Le vol des communautés SNMP est particulièrement préoccupant, car ces chaînes — souvent encore réglées sur public ou private — servent d’authentification à la supervision et à la configuration à distance de tout le parc.

Le fait que D-Link demande aux administrateurs de désactiver DDP pour retirer « le principal vecteur d’attaque connu » confirme que le protocole est joignable sur le segment et qu’il constitue la porte d’entrée. Un protocole de découverte ne devrait jamais être un vecteur d’exécution ; ici, il l’est.

Ce que D-Link recommande, faute de correctif

Sans firmware corrigé à horizon connu, la réponse de D-Link est une liste d’atténuations, à appliquer immédiatement sur tout DGS-3130-30TS en production :

• désactiver le DDP sur chaque équipement exposé ;
• supprimer les communautés SNMP par défaut ou inutiles ;
• restreindre SSH, l’interface web et SNMP à un réseau de gestion isolé et à des postes d’administration désignés ;
• conserver des sauvegardes hors ligne des configurations de switch ;
• surveiller les journaux à la recherche de changements de configuration inattendus, de redémarrages non sollicités ou de resets d’usine.

# Désactiver le D-Link Discovery Protocol (DDP) — CLI DGS-3130
# (le libellé exact de la commande varie selon la version de firmware ;
#  vérifier dans la documentation officielle de votre build)
disable ddp

# Retirer les communautés SNMP par défaut avant de les recréer en lecture seule
delete snmp community public
delete snmp community private

# Confiner la gestion : n'autoriser l'admin que depuis le VLAN de gestion
create snmp community "lecture-seule" ro view DefaultView

Ces mesures réduisent la surface sans combler la faille. Tant que le firmware n’est pas corrigé, un administrateur qui laisse le DDP actif et la gestion accessible depuis le VLAN des postes reste vulnérable — l’atténuation est une question de segmentation, pas de déni.

Un schéma récurrent chez D-Link

Cette alerte n’est pas un épisode isolé. En septembre 2026, D-Link avait déjà averti d’un zero-day de sévérité maximale — CVE-2026-86296 — sur ses routeurs Wi-Fi DIR-822A, avec un proof-of-concept public et, là encore, aucun correctif. Le scénario se répète : un équipement de réseau d’entrée de gamme, une faille connue, pas de patch, des atténuations en attendant.

Ce qui change ici, c’est la nature de l’équipement. Les DIR-822A sont des routeurs grand public. Les DGS-3130 sont des switchs gérés empilables vendus aux PME et aux opérateurs de réseaux métropolitains — du matériel d’infrastructure, pas de périphérie domestique. Une faille non corrigée y a plus de conséquences, car l’équipement centralise des dizaines ou des centaines de postes.

La leçon dépasse D-Link. Tout protocole de découverte propriétaire — DDP, mais aussi CDP, LLDP, NDP, EDP — doit être traité comme de la surface d’attaque, pas comme une commodité. Il écoute en permanence, répond sans authentification forte, et reste souvent activé par défaut après la mise en service. Le premier réflexe de durcissement d’un switch devrait être de le couper, sauf besoin explicite de la supervision.

Verdict

Les zero-days du DDP sur DGS-3130 sont un problème de segmentation, pas seulement de correctif. D-Link ne promet ni CVE ni date de patch, et l’historique récent de la marque — avec CVE-2026-86296 resté sans correctif en septembre — invite à la prudence plutôt qu’à l’attente passive.

Si vous exploitez des DGS-3130-30TS, désactivez le DDP aujourd’hui, supprimez les communautés SNMP par défaut et coupez la gestion du VLAN des postes — c’est l’atténuation complète que D-Link décrit, et elle se fait en une session CLI. Si votre parc est hétérogène, commencez par les switchs de cœur et de distribution : ce sont eux qui concentrent l’observation du trafic et le vol de communautés SNMP. Si vous êtes en phase d’achat, intégrez la cadence de correctifs de l’éditeur dans vos critères — un switch SMB dont le constructeur publie des zero-days sans patch deux fois en trois mois est un risque d’approvisionnement à chiffrer, pas une remise à saisir.

Références

• BleepingComputer — « D-Link warns of multiple zero-days in DGS-3130 Series switches » (Sergiu Gatlan, 6 novembre 2026)
• D-Link — Portail d’annonces de sécurité (consultation des avis relatifs aux DGS-3130 et DIR-822A)
• CVE.org — CVE-2026-86296, zero-day de sévérité maximale sur routeurs DIR-822A (septembre 2026)