CVE-2026-19924: Kritische Schwachstelle in Tenda AC10 erlaubt entfernte Angriffe

Kurzfassung

Für mehrere Tenda-Modelle liegt eine kritische Sicherheitslücke vor. Betroffen sind neben dem Tenda AC10 mit der Firmware 16.03.10.09_multi_TDE01 nun auch Geräte wie CH7, CH7G, CH10, CP3, CP3 Pro, CP7 sowie TC3B/TC3T-Varianten bis 20260625. Im Fall des AC10 ist die Webkomponente httpd mit der Funktion R7WebsSecurityHandler betroffen, bei den weiteren Modellen die ATE Module-Funktion CAte::HandleCmd im Datei-Teil Kylin. In beiden Fällen sind entfernte Angriffe möglich; für eine der Schwachstellen ist zudem ein öffentlich verfügbarer Exploit bekannt.

Für Betreiber heißt das: Routerbestand prüfen, Gerät absichern, Firmwarestand klären. Wer die betroffenen Modelle im Netz hängen hat, sollte die Exposition nicht auf die lange Bank schieben.

Was ist passiert?

Die Schwachstelle CVE-2026-19924 wird als kritisch eingestuft. Nach den vorliegenden Angaben führt eine Manipulation der betroffenen Funktion zu fehlerhafter Authentifizierung. Das ist gefährlich, weil die Schutzlogik vor dem Zugriff offenbar aus dem Takt gerät.

Besonders unangenehm: Der Angriff ist remote möglich. Ein lokaler Zugriff am Gerät ist dafür nach aktuellem Stand nicht nötig. Die NVD meldet außerdem, dass ein Exploit öffentlich beschrieben wurde. Damit sinkt die Hürde für Missbrauch deutlich.

Zusätzlich wurde mit CVE-2026-19747 eine weitere kritische Schwachstelle in mehreren Tenda-Geräten gemeldet. Auch hier ist ein Angriff aus der Ferne möglich. In diesem Fall führt die Manipulation in der ATE-Module-Funktion CAte::HandleCmd zur Einschleusung von Befehlen, also zu Command Injection.

Technische Details

Die Lücke CVE-2026-19924 sitzt im Webserver-/Webinterface-Teil des Geräts, also in httpd. Ausgelöst wird sie über R7WebsSecurityHandler. Mehr technische Details nennt die Quelle nicht; ob es sich um einen klassischen Authentifizierungsfehler, eine Umgehung von Prüfungen oder eine Folge fehlerhafter Parameterbehandlung handelt, bleibt offen.

Bei CVE-2026-19747 liegt die Schwachstelle in der Funktion CAte::HandleCmd der Datei Kylin im ATE Module. Die NVD beschreibt den Fehler als Command Injection. Betroffen sind die Modelle Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C und TC3T15C bis einschließlich 20260625. Auch hier ist die Attacke laut Meldung remote ausnutzbar.

Ebenso nennt die Quelle keine CVSS-Bewertung und keine Angaben zu möglichen Folgeeffekten wie Konfigurationsänderungen, Denial of Service oder vollständiger Geräteübernahme. Für die Praxis reicht der Befund trotzdem schon aus: Kritisch, remote ausnutzbar, öffentlich bekannt. Das ist die Sorte Lücke, die man im Netz nicht ignoriert.

Wer ist betroffen?

Explizit genannt ist beim ersten Fall der Tenda AC10 in der Firmwareversion 16.03.10.09_multi_TDE01. Ob weitere Firmwarestände, ältere Releases oder baugleiche Modelle ebenfalls betroffen sind, lässt die Quelle offen.

Für die zweite Schwachstelle sind mehrere Tenda-Modelle genannt: CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C und TC3T15C bis 20260625. Damit ist die Betroffenheit deutlich breiter als beim AC10-Fall.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn solche Geräte in kleinen Niederlassungen, Laboren, Testumgebungen oder als Übergangsrouter im Einsatz sind. Genau dort fliegen Consumer-Router oft unter dem Radar. Privatnutzer mit diesen Modellen sollten die Lage ebenfalls ernst nehmen, weil die Angriffswege remote sind und kein Spezialwissen voraussetzen, wenn ein Exploit bereits kursiert oder die Schwachstelle als Command Injection ausnutzbar ist.

Empfohlene Maßnahmen

Wer den Tenda AC10 oder eines der nun zusätzlich genannten Modelle betreibt, sollte zuerst den Firmwarestand prüfen und nach einer Herstellerkorrektur suchen. Gibt es ein Update, dann zeitnah einspielen. Gibt es keines, bleibt nur Schadensbegrenzung: Gerät aus dem Internet nehmen, Fernzugriff abschalten, Admin-Zugang nur aus vertrauenswürdigen Netzen erlauben und das Router-Management nicht offen ins WAN stellen.

Für Admins in Organisationen gilt zusätzlich: Bestände erfassen. Solche Geräte hängen gern in Außenstellen, Werkstätten oder bei Dienstleistern. Wer sie nicht kennt, kann sie auch nicht absichern. Bis zur Klärung sollte der Router in ein restriktives Segment, hinter weitere Schutzschichten oder im Zweifel außer Betrieb genommen werden.

Wenn das Modell produktiv läuft, lohnt sich ein kurzer Check auf unklare Portfreigaben, offene Management-Oberflächen und auffällige Konfigurationsänderungen. Ein Factory-Reset ist kein Ersatz für ein Patch, kann aber nach einem Verdacht helfen, den Zustand sauber neu aufzusetzen.

Einschätzung von CyberSecurity-News.de

Die Lage ist ernst, aber nicht dramatischer als nötig. Kritisch ist hier vor allem die Kombination aus Remote-Ausnutzbarkeit und öffentlichem Exploit. Das macht aus einer Schwachstelle schnell ein reales Angriffsfenster, besonders bei Geräten, die selten gepflegt werden.

Wirklich unbefriedigend bleibt die dünne Informationslage. Die Quellen nennen nur die betroffenen Modelle und Firmwarestände. Für Betreiber ist das wenig, für die Risikobewertung aber ausreichend genug, um sofort zu handeln. Wer solche Router in der Peripherie laufen lässt, sollte jetzt prüfen, ob das Gerät überhaupt noch gebraucht wird. Oft ist die sauberste Lösung der Austausch.

Fazit

CVE-2026-19924 ist eine kritische Schwachstelle in einem Tenda-Consumer-Router mit potenziell unmittelbarer Angriffsfläche aus dem Netz. Mit CVE-2026-19747 kommt eine weitere kritische Tenda-Lücke hinzu, die mehrere Modelle betrifft und in Command Injection münden kann. Ein öffentlich bekannter Exploit erhöht den Druck. Wer die betroffenen Geräte einsetzt, sollte sie heute noch prüfen und nicht auf spätere Wartungsfenster warten.

Für die meisten Unternehmensnetze ist das kein Massenproblem, wohl aber ein typischer Altlastenfall am Rand der Infrastruktur. Genau dort entstehen oft die unnötigsten Risiken.