In mehreren Firmware-Versionen von Tenda-Netzwerkgeräten steckt eine undokumentierte Hintertür, mit der sich Angreifer administrativen Zugriff auf die Web-Oberfläche verschaffen können, ganz ohne die eigentlichen Zugangsdaten. Das CERT Coordination Center (CERT/CC) der Carnegie Mellon University hat den Fehler am 6. Juli 2026 in der Vulnerability Note VU#213560 veröffentlicht. Er wird als CVE-2026-11405 geführt. Einen Patch gibt es nicht, denn der Hersteller reagiert seit Wochen nicht.

Was ist passiert

Tenda ist ein chinesischer Anbieter von Netzwerktechnik für Privathaushalte und kleinere Unternehmen, darunter Router, Switches, Access Points und Überwachungstechnik. Diese Geräte werden über eine passwortgeschützte Web-Oberfläche konfiguriert. Genau dieser Schutz lässt sich bei den betroffenen Modellen aushebeln.

Ein anonymer Sicherheitsforscher hat die Hintertür entdeckt und an das CERT/CC gemeldet. Sie sitzt im Webserver-Programm /bin/httpd, konkret in der login()-Funktion. Ein zweiter, versteckter Anmeldeweg läuft parallel zur normalen Prüfung und wird über keine Verwaltungsoberfläche angezeigt.

Wie die Hintertür funktioniert

Beim Anmelden prüft die Firmware das eingegebene Passwort zunächst wie erwartet über einen MD5-basierten Abgleich. Scheitert dieser normale Weg, gibt sich die Funktion aber nicht geschlagen. Sie ruft GetValue(„sys.rzadmin.password“) auf und liest damit ein zweites, in der Gerätekonfiguration hinterlegtes Passwort aus.

Anschließend vergleicht sie das vom Nutzer eingegebene Passwort im Klartext direkt mit diesem gespeicherten Wert, über einen einfachen strcmp()-Vergleich. Stimmt es überein, wird eine gültige Sitzung mit role=2 erstellt, also mit vollen Administratorrechten. Der Benutzername spielt dabei keine Rolle. Jeder beliebige Name funktioniert, solange das hinterlegte Hintertür-Passwort passt.

Das Perfide daran: Es handelt sich nicht um einen klassischen Programmierfehler wie einen Pufferüberlauf oder eine vergessene Standardkonfiguration. Hier wurde ein zweiter Anmeldeweg bewusst in die Firmware eingebaut. Das Passwort, das der Gerätebesitzer setzt, ist dadurch praktisch bedeutungslos.

Warum das gefährlich ist

Wer die Hintertür ausnutzt, erhält die volle Kontrolle über das Gerät, unabhängig vom gesetzten Administratorpasswort. Damit lassen sich sämtliche Einstellungen ändern: DNS-Server umbiegen, Firewall-Regeln aufweichen, Portweiterleitungen einrichten, Sicherheitsfunktionen abschalten. Ein kompromittierter Router ist ein idealer Ausgangspunkt, um den gesamten dahinterliegenden Netzwerkverkehr mitzulesen, umzuleiten oder weitere Geräte im lokalen Netz anzugreifen.

Aktuell gibt es nach Angaben der Sicherheitsforscher keine bestätigte aktive Ausnutzung und keinen öffentlichen Exploit-Code. Das ist allerdings kein Grund zur Entwarnung. Router-Schwachstellen ohne Patch werden erfahrungsgemäß schnell von Botnetzen aufgegriffen, die gezielt nach verwundbaren Geräten scannen. Da die Hintertür über keinen komplizierten Exploit ausgelöst werden muss, sondern nur erreichbar sein muss, ist das Missbrauchspotenzial hoch.

Besonders unangenehm ist die Haltung des Herstellers. Das CERT/CC hat Tenda bereits am 19. Mai 2026 informiert. Bis zur Veröffentlichung sieben Wochen später kam keine Reaktion, kein Statement, kein Zeitplan für eine Korrektur. Dieses Schweigen ist kein Einzelfall. Tenda hat schon in den Jahren 2013, 2020, 2021 und 2022 auf gemeldete kritische Schwachstellen nicht reagiert. Wer auf ein zeitnahes Firmware-Update wartet, sollte sich darauf nicht verlassen.

Ohne Patch bleiben nur Notmaßnahmen. Angesichts der Tatsache, dass die Lücke absichtlich eingebaut wirkt und der Hersteller nicht reagiert, ist es aus unserer Sicht sinnvoll, den Austausch der betroffenen Geräte gegen Hardware eines Anbieters mit verlässlicher Update-Politik ernsthaft zu prüfen.