Kurzfassung
Für Tenda-Geräte sind vier kritische Schwachstellen veröffentlicht worden: CVE-2026-86148, CVE-2026-86151, CVE-2026-86165 und CVE-2026-86167. Zwei betreffen den CP3, zwei den HG10. In allen vier Fällen geht es um Angriffe aus der Ferne; zweimal um Command Injection, einmal um Buffer Overflow.
Das ist für Betreiber ernst. Wer eines der betroffenen Modelle im Netz hat, muss jetzt prüfen, ob eine korrigierte Firmware vorliegt, und die Geräte bis dahin so weit wie möglich vom Internet abschirmen.
Was ist passiert?
Die NVD führt vier separate Schwachstellen für Tenda-Produkte auf. Beim CP3 sind Funktionen in Apis/system.c betroffen, beim HG10 Komponenten unter /boaform/admin/. Die Fehler liegen also in der Geräte-Logik selbst, nicht in einem nachgelagerten Dienst. Genau das macht sie unerquicklich: Wer das Web-Interface oder die betroffenen Verwaltungsfunktionen erreicht, kann den Angriff laut Beschreibung remote anstoßen.
Bei CVE-2026-86148 führt die Manipulation des Parameters AlarmVoiceURL zu Command Injection. CVE-2026-86151 betrifft die Funktion sub_2F77E8 in der Network Configuration Management-Komponente und endet ebenfalls in Command Injection. Beim HG10 erlaubt CVE-2026-86165 über Keywd/urlFQDN einen Buffer Overflow. CVE-2026-86167 öffnet über fmgpon_loid wieder den Weg zur Command Injection.
Technische Details
CVE-2026-86148 und CVE-2026-86151 sind klassische Remote-Code-Execution-Vorläufer über unsauber verarbeitete Eingaben. Wenn ein Angreifer über HTTP-Parameter Befehle einschleusen kann, reicht oft schon ein präparierter Request an die Verwaltungsoberfläche. Ob daraus direkt Root wird, nennt die Quelle nicht. Für die Praxis ist das Detail zweitrangig: Schon die Möglichkeit, Betriebssystembefehle auf dem Gerät auszuführen, reicht für einen gravierenden Vorfall.
CVE-2026-86165 ist anders gelagert. Ein Buffer Overflow kann je nach Speicherlayout zu Absturz, Denial of Service oder Codeausführung führen. Die Quelle sagt außerdem, dass ein Exploit öffentlich verfügbar ist. Das verschiebt die Lage spürbar. Wenn ein funktionierender Exploit schon kursiert, sinkt die Hürde für Angreifer massiv.
CVE-2026-86167 kombiniert wieder einen schadhaften Eingabeweg mit Remote-Ausnutzung und öffentlich verfügbarem Exploit. Damit steht auch dieses Problem nicht nur auf dem Papier. Für Admins zählt hier weniger die theoretische Ursache als die Frage, ob das betroffene Gerät noch produktiv und erreichbar ist.
Wer ist betroffen?
Betroffen sind nach den vorliegenden Angaben Tenda CP3 in Version 27.5.57.101 sowie Tenda HG10 in Version 300001138. Ob weitere Builds oder Nachfolgeversionen ebenfalls betroffen sind, lässt die Quelle offen. Auch ob bestimmte regionale Varianten andere Firmwarestände nutzen, geht daraus nicht hervor.
Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Tenda-Geräte in kleinen Niederlassungen, bei Außenstellen, in Labors oder bei günstigen Netzwerkinstallationen laufen. Solche Geräte hängen oft länger im Netz als geplant. Genau dort entsteht das Risiko: keine saubere Inventarisierung, kein Patch-Prozess, aber ein nach außen erreichbares Web-Interface.
Privatnutzer trifft das nur dann direkt, wenn sie eines der betroffenen Modelle zuhause einsetzen. Dann gilt dieselbe Regel: Nicht freigeben, nicht unnötig ins Internet stellen, Firmware prüfen.
Empfohlene Maßnahmen
Wer CP3 oder HG10 betreibt, sollte zuerst prüfen, ob der Hersteller bereits eine bereinigte Firmware anbietet. Ein offizielles Advisory oder Download-Link wurde in der Quelle nicht genannt. Liegt ein Fix vor, hat das Priorität eins.
Bis dahin helfen nur saubere Übergangsschritte: Webzugriff auf das Gerät auf das interne Netz beschränken, Fernverwaltung abschalten, unnötige Management-Ports sperren und das Gerät, wenn möglich, hinter eine restriktive Firewall setzen. Wer das Gerät aus dem Internet erreichen kann, reduziert sein Risiko nicht mit Hoffnung, sondern mit Regeln.
Zusätzlich gehört das Modell in die Asset-Liste. Prüfen, wo Tenda-Geräte überhaupt stehen. Gerade bei kleinen Routern und Kameras fällt das im Alltag gern durchs Raster. Logs sichern, falls bereits verdächtige Zugriffe gelaufen sind. Wenn ein Exploit öffentlich ist, lohnt sich eine Nachprüfung auch dann, wenn noch kein Alarm ausgelöst wurde.
Einschätzung von CyberSecurity-News.de
Vier kritische Tenda-Lücken auf einmal sind kein Randthema. Die Kombination aus Remote-Command-Injection und öffentlich verfügbarem Exploit bei einem der betroffenen Modelle ist praktisch relevant, weil solche Geräte in der Realität selten streng gehärtet sind. Genau dort wird aus einem technischen Fehler schnell ein Netzwerkrisiko.
Die Informationslage bleibt aber dünn. Zu möglichen Fix-Versionen schweigt die Quelle. Das ist unschön, weil Betreiber ohne klare Herstellerkommunikation selbst suchen müssen. Wer Tenda-Geräte produktiv nutzt, sollte deshalb nicht auf eine weitere Meldung warten, sondern den Bestand sofort prüfen und die Angriffsfläche verkleinern.
Fazit
CVE-2026-86148, CVE-2026-86151, CVE-2026-86165 und CVE-2026-86167 betreffen Tenda-Geräte mit kritischen Schwachstellen, die aus der Ferne ausnutzbar sind. Zwei Lücken erlauben Command Injection, eine führt zu Buffer Overflow, zwei Exploits sind laut Quelle öffentlich verfügbar. Für Betreiber heißt das: prüfen, absichern, patchen, sobald eine korrigierte Firmware bereitsteht.
Wer Tenda CP3 oder HG10 im Netz hat, sollte das Thema nicht auf den nächsten Wartungszyklus verschieben. Die Geräte sind genau in der Klasse, die gern vergessen wird. Und genau dort schlagen solche Schwachstellen am härtesten ein.
