Cinq failles CVSS 10 exposent les routeurs WAVLINK via le DNS, l’OpenVPN et WireGuard

2 novembre 2026. La base NVD publie coup sur coup cinq vulnérabilités visant les routeurs WAVLINK, toutes notées CVSS 10.0 — le score maximal. 2 novembre 2026, encore. Pour chacune, la mention « the exploit has been made public » signale qu’un exploit circule déjà, et « the vendor was contacted early » que l’éditeur a été prévenu avant publication. 2 novembre 2026, toujours. Aucun correctif n’est annoncé. L’essentiel tient en une phrase : sur ces boîtiers, les chemins DNS, OpenVPN et WireGuard — précisément ceux qui traversent le périmètre — acceptent des entrées qu’un attaquant peut transformer en commandes système.

Ce n’est pas un lot de détails de firmware. C’est un rappel que le routeur de bordure, l’appareil que tout le monde branche et oublie, reste la surface d’attaque la plus silencieuse d’un réseau.

Ce que décrivent les cinq CVE

Les cinq entrées forment un ensemble cohérent, concentré sur deux familles de boîtiers et sur trois fonctions réseau sensibles.

• CVE-2026-120345 frappe le WN551X3-A en firmware M51X3_V251020-WO-182e965. Dans le binaire /bin/ioos, la fonction sub_41a430 du gestionnaire de résolution DNS injecte l’argument data dans une commande système. L’attaque est initiée à distance, sans authentification.
• CVE-2026-120280 vise le WN536AX6-A en firmware V260507. Le handler wireguard_cli_group du fichier /protocol.csp concatène les champs group_id et group_name dans une commande — injection de commande dans la gestion WireGuard.
• CVE-2026-120281 touche le même WN536AX6-A. La fonction strcpy du fichier /protocol.csp, dans le handler OpenVPN, copie l’argument openvpn_ip sans borne — débordement de tampon sur la pile, exploitable à distance.
• CVE-2026-120276 et CVE-2026-120277 complètent le lot sur la révision V260507_2.0.0 du WN536AX6-A.

Le point commun est troublant. Les trois failles les plus détaillées ne se situent pas dans une fonctionnalité annexe, mais dans les composants qui font le métier d’un routeur : résoudre des noms, établir un tunnel VPN, transporter du trafic. Un attaquant qui contrôle ces chemins ne compromet pas seulement le boîtier — il s’installe sur le point de passage de tout le trafic du réseau local.

Pourquoi CVSS 10 sur un routeur grand public change la donne

Le score CVSS 10.0 signifie que la vulnérabilité se combine en vecteur réseau, sans privilège ni interaction utilisateur, avec un impact complet sur la confidentialité, l’intégrité et la disponibilité. Sur un serveur d’entreprise, un tel score déclenche une procédure de crise. Sur un routeur WAVLINK — une marque de boîtiers abordables vendus en grande distribution — il passe souvent inaperçu, parce que personne ne maintient ces appareils.

L’exposition des fonctions DNS et VPN aggrave la situation d’une manière précise. Le DNS est le point d’entrée par lequel un routeur oriente toute résolution de nom : le compromettre permet de rediriger le trafic, d’empoisonner le cache local ou d’exfiltrer les requêtes. OpenVPN et WireGuard sont les services que les utilisateurs exposent volontairement sur Internet pour accéder à leur réseau à distance : une faille d’injection dans leur gestion transforme le canal d’accès légitime en porte d’entrée. Dans les trois cas, l’attaquant n’a pas besoin de se faufiler — la porte lui est ouverte par la fonction même de l’appareil.

Ajoutons l’exploit public. La mention « the exploit has been made public » n’est pas un détail rhétorique : elle signifie qu’un code de démonstration, ou un module prêt à l’emploi, circule. L’écart entre la publication d’une preuve de concept et l’exploitation automatisée à grande échelle, sur ce type d’appareil, se mesure en jours.

Qui est réellement exposé

Le périmètre dépasse le particulier qui a acheté un boîtier en promotion. Les WAVLINK se retrouvent dans trois configurations où le risque est maximal :

• Les petits bureaux et commerces, qui installent un routeur Wi-Fi bon marché derrière la box de l’opérateur et n’y touchent plus. Le firmware reste dans sa version d’origine, souvent des années.
• Les VPN domestiques exposés, où un utilisateur configure OpenVPN ou WireGuard sur le routeur pour accéder à son réseau depuis l’extérieur. C’est précisément la fonction que les failles attaquent.
• Les installateurs et revendeurs, qui déploient ces boîtiers chez des clients sans assurer de suivi de correctifs, et qui les laissent joignables depuis Internet.

Dans tous ces cas, la mise à jour du firmware n’est pas surveillée, et le routeur reste joignable. La combinaison « CVSS 10 + exploit public + pas de correctif » y devient une compromission à portée de script.

Ce qu’il faut faire maintenant

Il n’y a pas de correctif officiel au moment de la publication. La réponse relève donc de l’isolement, puis de la surveillance.

• Vérifier la présence de ces modèles. Inventoriez les WN551X3-A et WN536AX6-A du parc. Un routeur oublié dans une armoire est le premier maillon d’une compromission.
• Retirer l’exposition Internet. Désactivez l’accès distant au panneau d’administration et, si un serveur OpenVPN ou WireGuard tourne sur le boîtier, coupez-le ou déplacez-le vers un hôte distinct qui reçoit des correctifs.
• Isoler le routeur. Placez-le derrière une frontière que vous contrôlez, et segmentez les appareils qui s’y connectent — caméras, imprimantes, objets connectés — du reste du réseau.
• Surveiller le DNS. Des requêtes vers des domaines inhabituels ou des redirections anormales sont le premier symptôme d’un gestionnaire DNS compromis.
• Préparer le remplacement. Sans correctif annoncé, le cycle de vie de ces boîtiers est terminé de fait. Remplacez-les par du matériel dont le fournisseur publie des mises à jour régulières.

Aucune de ces mesures ne corrige la faille. Elles réduisent la surface pendant la fenêtre — potentiellement longue — où aucun patch n’existe.

Verdict

Le problème n’est pas qu’un routeur contienne une injection de commande ; c’est qu’un lot entier de failles maximales touche les fonctions de bordure, avec des exploits publics, sur du matériel que personne ne maintient. Si vous utilisez un routeur WAVLINK WN551X3-A ou WN536AX6-A, traitez-le comme compromis par hypothèse : coupez son exposition Internet et remplacez-le. Si vous déployez ce type de boîtier pour des clients, cessez de le faire sans un canal de mise à jour vérifiable. La leçon dépasse la marque : un routeur de bordure sans correctif n’est pas un appareil vulnérable, c’est un appareil déjà perdu — la question n’est plus de savoir s’il sera attaqué, mais quand le DNS qu’il résout aura cessé de pointer vers où vous croyez.

Références

• NVD — CVE-2026-120345 (WAVLINK WN551X3-A, DNS Resolution Handler)
• NVD — CVE-2026-120280 (WAVLINK WN536AX6-A, WireGuard command injection)
• NVD — CVE-2026-120281 (WAVLINK WN536AX6-A, OpenVPN stack overflow)
• InfoSecNexus — Live Cybersecurity Brief, 3 novembre 2026