Sicherheitsanalysten haben in weltweit vertriebenen Routern des chinesischen Herstellers ZBT mehrere versteckte Überwachungswerkzeuge identifiziert. Wie aus aktuellen Berichten von VulnCheck hervorgeht, wurden insgesamt drei Backdoors entdeckt, die teils kritische Sicherheitsrisiken für die betroffenen Netzwerkinfrastrukturen darstellen.
Die Schwachstellen ermöglichen unbefugte Fernzugriffe und werden von Experten aufgrund ihrer hohen Bedrohungsstufe mit CVSS-Werten von bis zu 9,8 bewertet.
Identifizierte Schwachstellen und technische Details
Die Forscher dokumentierten drei spezifische Hintertüren, die unter den Bezeichnungen ENDLESSDOORS, SPEAKINGSTONE und DARKLANTERN geführt werden. Die als ENDLESSDOORS bezeichnete Schwachstelle (CVE-2026-66747) weist einen CVSS-Score von 9,3 auf und ermöglicht einen unbefugten Zugriff auf die Geräte des Herstellers.
Noch kritischer werden die Funktionen von SPEAKINGSTONE (CVE-2026-74232) und DARKLANTERN (CVE-2026-74233) eingestuft, die beide mit einem CVSS-Score von 9,8 bewertet wurden. Den Analysen zufolge lauscht die SPEAKINGSTONE-Backdoor auf dem UDP-Port 10000. Diese Komponente verfüge über acht verschiedene Funktionen und nehme selbstständig Kontakt zu der Domain ac-link[.]com auf.
Die dritte entdeckte Komponente, DARKLANTERN, nutzt den UDP-Port 9992 für eingehende Verbindungen. Laut den Sicherheitsberichten ist dieser Port für Anfragen offen, ohne dass eine vorherige Authentifizierung der Nutzer oder Administratoren erforderlich ist. Dies eröffnet Angreifern die Möglichkeit, Befehle direkt an die Hardware zu senden.
Globale Verbreitung und betroffene Regionen
Untersuchungen zur Reichweite der Sicherheitslücken zeigen eine internationale Verbreitung der betroffenen Geräte. Im Rahmen einer Analyse kontaktierten insgesamt 392 Geräte einen sogenannten Sinkhole-Server, den die Forscher zur Überwachung des Datenverkehrs eingerichtet hatten. Von diesen Geräten befanden sich 390 Standorte in China.
Dennoch ist die Problematik nicht auf den asiatischen Raum begrenzt. Bezüglich der DARKLANTERN-Instanzen wurden 203 aktive Fälle in insgesamt 22 Ländern nachgewiesen.
Immer mehr Unternehmen werden Opfer von Cyberangriffen durch unentdeckte Sicherheitslücken in der Infrastruktur. In diesem kostenlosen E-Book erklären Experten, wie Sie sich proaktiv absichern und Bedrohungen abwenden, bevor es zu spät ist. Checkliste zur proaktiven Absicherung jetzt kostenlos herunterladen
Ein signifikanter Anteil dieser Funde entfiel auf die USA, wo 103 betroffene Instanzen identifiziert werden konnten. Dies verdeutlicht, dass die Geräte des Herstellers ZBT auch in westlichen Märkten eine relevante Verbreitung finden und dort potenzielle Einfallstore für Überwachungsmaßnahmen bieten.
Stellungnahme des Herstellers
Der chinesische Hersteller ZBT hat auf die Funde reagiert. Das Unternehmen ordnet die Funktionen der entdeckten Werkzeuge dem Bereich des Kundendienstes zu. Laut Firmenangaben handele es sich bei den Komponenten um Tools, die für den After-Sales-Support der Router vorgesehen seien.
Sicherheitsexperten bewerten solche vorinstallierten Zugänge jedoch regelmäßig als hochriskant, da sie unabhängig von der ursprünglichen Absicht des Herstellers durch Dritte missbraucht werden können.
Wer sich mit der Absicherung geschäftskritischer Netzwerke befasst, muss heute auch neue gesetzliche Anforderungen und KI-Risiken im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report für Unternehmen sichern
Die fehlende Authentifizierung bei DARKLANTERN sowie die automatische Kontaktaufnahme zu externen Servern bei SPEAKINGSTONE stützen die Einschätzung, dass es sich um klassische Hintertüren handelt, die das Sicherheitsniveau der betroffenen Netzwerke massiv untergraben.
Die Entdeckungen fallen in eine Zeit verschärfter Aufmerksamkeit für die Sicherheit von Netzwerkkomponenten aus Fernost. Fachleute raten Administratoren dazu, die betroffenen UDP-Ports in ihren Firewalls zu sperren und die Kommunikation zu den identifizierten Domains zu unterbinden, sofern die Geräte weiterhin im Einsatz bleiben müssen. Eine vollständige Behebung der Schwachstellen durch offizielle Firmware-Updates steht derzeit noch aus.
