Backdoor nei router ZBT: hacker già in casa
Scopri come le backdoor SPEAKINGSTONE e DARKLANTERN hanno compromesso centinaia di router ZBT, i rischi per gli utenti italiani e le azioni da intraprendere.
Il 2 settembre 2026 gli esperti di VulnCheck hanno scoperto due backdoor nei router del produttore cinese Shenzhen Zhibotong Electronics (ZBT). Le vulnerabilità, denominate SPEAKINGSTONE (CVE-2026-74232) e DARKLANTERN (CVE-2026-74233), permettono a un aggressore remoto di connettersi al dispositivo senza autenticazione e di eseguire comandi con privilegi root.
Come si riconosce
- Il router invia traffico UDP alla porta 10000 verso un indirizzo di gestione codificato.
- Connessioni in uscita verso domini non registrati o server sconosciuti.
- Comunicazioni di configurazione DNS alterate o reindirizzamenti verso server esterni.
- Accesso SSH inverso senza autorizzazione.
Cosa non fare
- Non ignorare le notifiche di aggiornamento del firmware.
- Non lasciare le porte UDP 9992 e 10000 aperte verso Internet.
- Non condividere credenziali PPPoE con terze parti non verificabili.
Cosa fare
- Blocca la porta UDP 9992 sul firewall del router.
- Verifica e aggiorna il firmware all’ultima versione disponibile, se disponibile.
- Monitora il traffico verso indirizzi di gestione SPEAKINGSTONE e sospetti domini di riserva.
- Rimuovi o cambia le credenziali PPPoE e DNS predefinite.
- Considera di sostituire il dispositivo se non è possibile garantire la sicurezza.
Al 21 agosto 2026, 392 dispositivi unici si erano connessi al server di gestione SPEAKINGSTONE, di cui 390 in Cina. L’83% di questi router utilizzava la rete China Mobile e 363 erano modello L3_V2_8 con firmware 3.0.0.4.528.S. Per DARKLANTERN, 203 istanze erano accessibili in 22 paesi. L’azienda non ha ancora commentato la scoperta, ma ha consigliato agli utenti di bloccare le porte UDP 9992 e di monitorare le richieste di gestione.
Per approfondire i router, visita la nostra sezione telefonia e scopri come proteggere la tua rete domestica.
Domande frequenti
Ho già cliccato su un link sospetto, cosa devo fare?
Disconnetti immediatamente il dispositivo dalla rete, esegui una scansione antivirus e cambia tutte le password di accesso.
Il mio router è stato compromesso, devo formattarlo?
Prima di formattare, verifica se è disponibile un aggiornamento firmware che chiuda le backdoor. Se non è disponibile, considera la sostituzione del dispositivo.
Come posso sapere se il mio router è un modello ZBT?
Controlla l’etichetta del dispositivo o l’interfaccia web di amministrazione: i modelli ZBT sono identificati con la sigla L3_V2_8 o simili.