H3C Magic NX15 router'larda herkesçe erişilebilir exploit'li iki CVSS 9.9 komut enjeksiyonu açığı tespit edildi

Dört açık, ikisi kritik seviyede

H3C'nin Magic NX15 router'ındaki, tümü V100R017 yazılımını etkileyen dört güvenlik açığı 19 ve 20 Ekim 2026'da yayımlandı. Açıklamaya ilişkin dev.to analizine göre bunlardan ikisi CVSS 3.1 altında 9.9 puanıyla derecelendirildi. CVE-2026-112370, /usr/bin/usrlist içindeki sub_416874 fonksiyonunda bir OS komut enjeksiyonu; CVE-2026-112371 ise cihazın RPC arayüzündeki /api/esps uç noktası üzerinden erişilebilen bir komut enjeksiyonu. Analizin belirttiğine göre her ikisine ait exploit kodları herkese açık ve açıklar yayımlanmadan önce H3C ile iletişime geçilmiş.

En yüksek puanlı iki açık da router'ın web arayüzü üzerinden erişiliyor ve analize göre kimlik bilgisi gerektirmiyor. Bu nedenle herhangi bir cihazın fiilen risk altında olup olmadığı tek bir şeye bağlı: o web arayüzüne bir saldırganın erişip erişemeyeceğine.

Açıkta olan cihaz sayısının ölçülmesi

Kaç cihazın etkilenebileceğini tahmin etmek için analiz, 27 Ekim 2026'da ZoomEye arama motorunu sorguladı. H3C için üretici genelinde bir parmak izi 888.990 varlıkla eşleşti, ancak bunlardan yalnızca 34.221'i — yüzde dörtten azı — 80 numaralı porttan yanıt verdi.

Bu fark, H3C'nin ürün yelpazesini yansıtıyor. Şirket çoğunlukla kurumsal ve operatör anahtarları, router'lar ve erişim noktaları satıyor; bu ekipman genellikle standart HTTP portunda bir web sunucusu yerine SNMP, SSH, Telnet ve üreticiye özel yönetim protokolleri açığa çıkarıyor. İki kritik açık HTTP yolu sorunları olduğundan, analiz 34.221 web üzerinden erişilebilen cihazın maruziyet için fiili üst sınırı oluşturduğunu, 888.990'luk toplamın ise bu açıkların dokunamayacağı ekipmanı tanımladığını savunuyor.

Modelin kendisini saymanın yolu yok

Tarama verilerinin hiçbiri NX15'i ayrıştırmıyor ve hiçbir alan yazılım sürümü bildirmiyor; bu yüzden etkilenen router sayısı kamuya açık ölçümlerden türetilemiyor. En yakın gösterge, H3C'nin tüketici serisi olan "H3C Magic" için yapılan sayfa başlığı araması ve bu arama 13.297 sonuç döndürdü. Bu rakam bir cevaptan çok başlangıç listesi: Magic ailesi aynı web arayüzünü paylaşan birçok modeli kapsıyor ve seri için uygulama parmak izi hiçbir sonuç döndürmüyor. Gerçek maruziyeti doğrulamak hâlâ her ana makinenin kesin model ve yazılımının tek tek kontrol edilmesini gerektiriyor.

Sorgu sonuçları tutmadığında

Analiz ayrıca ölçümün kendisindeki bir bulmacayı belgeliyor. "H3C" için başlık araması 29.452 sayfa döndürdü, üretici parmak izi 80 numaralı portla birleştiğinde 34.221 sonuç çıktı; ancak başlık araması 80 numaralı portla birleştirildiğinde yalnızca 889 sonuç alındı. Önerilen açıklama, bu web arayüzlerinin birçoğunun 8080 gibi standart dışı portlardan dinlediği — bu operatör ve kurumsal ekipmanda yaygındır — ve başlık tabanlı sorguların bir sayfanın gerçekte hangi porttan sunulduğunu kaydetmediği yönünde. Maruziyet ölçen herkes için çıkarım şu: aynı varlık kaydındaki alanlar göründükleri şekilde birleşmeyebilir ve tek bir ek koşul, her sayı tek tek doğru görünse bile bu nüfusu yüzde 97 azalttı.

Neden önemli

Herkese açık exploit kodlu iki kimlik doğrulamasız komut enjeksiyonu açığının bir tüketici router'ında bulunması başlı başına tehlikelidir; ancak tarama verisi maruziyetin gerçekte ne anlama geldiğini yeniden çerçeveliyor. Manşetlerdeki üretici sayısı büyük ölçüde alakasız; riski belirleyen şey, bir router'ın yönetim arayüzünün internetten yanıt verip vermediğidir. Web arayüzü port yönlendirmeyle açığa çıkarılmış bir Magic router, sayfa başlığı hangi modeli belirtirse belirtsin tehlikededir; NAT arkasında duran ve hiçbir portu yönlendirilmemiş olan ise değildir. Aynı mantık büyür de: H3C kurumsal ekipmanındaki binlerce web üzerinden erişilebilen yönetim arayüzü, HTTP yönetim düzlemlerinin envanter çıkarıp kilitlemeyi gerektirecek kadar yaygın olduğunu hatırlatıyor. NX15 sahipleri H3C'den yazılım güncellemesini sormalı ve cihazın web arayüzünün ev ağı dışından erişilebilir olmadığından emin olmalı.