In breve

• Sono state scoperte tre gravi vulnerabilità di esecuzione di codice remoto (RCE) nei router D-Link DIR-878.
• I dettagli tecnici e gli exploit pubblici di queste falle sono ora disponibili online.
• D-Link ha terminato il supporto per il DIR-878 nel 2021 e non rilascerà patch di sicurezza.
• Gli aggressori possono prendere il controllo dei router vulnerabili da remoto, senza bisogno di password.
• Gli esperti invitano gli utenti a sostituire o limitare fortemente l’accesso ai dispositivi interessati.

Quando l’hardware vecchio diventa terra di conquista

Immagina il tuo router di casa come un tempo fidato guardiano, ora in pensione e lasciato solo al suo posto. Il DIR-878, un popolare modello D-Link lanciato nel 2017, era stato promosso come campione ad alta velocità e dual-band. Ma oggi si trova esposto-un relitto digitale con falle enormi, mentre i ricercatori rivelano una tripletta di vulnerabilità critiche che permettono agli hacker di prenderne il controllo da qualsiasi parte del mondo.

Queste falle, note come vulnerabilità di esecuzione di codice remoto (RCE), sono pericolose quanto lasciare le chiavi di casa sul portico. Senza alcuna autenticazione richiesta, gli aggressori possono eseguire qualsiasi comando desiderino sul dispositivo, trasformando di fatto la rete domestica nel loro parco giochi personale. I dettagli tecnici, inclusi codici di attacco proof-of-concept, sono stati pubblicati dal ricercatore di sicurezza Yangyifan, facendo scattare l’allarme in tutta la comunità della cybersecurity.

Dentro la vulnerabilità: come funzionano gli attacchi

Le vulnerabilità-CVE-2025-60672, CVE-2025-60673 e CVE-2025-60676-sfruttano diverse debolezze nel modo in cui il router gestisce le impostazioni di rete e i file di sistema. In termini semplici, gli aggressori possono ingannare il router facendogli eseguire istruzioni malevole inviando messaggi appositamente costruiti, aggirando qualsiasi necessità di password. Una falla sfrutta le impostazioni Dynamic DNS del router, un’altra prende di mira il campo IP della DMZ (demilitarized zone), e una terza manipola le regole di sistema temporanee. Esiste anche un quarto bug, meno critico, che richiede l’inserimento di una chiavetta USB, ma i rischi principali restano remoti e facili da sfruttare.

Ciò che rende la situazione particolarmente grave è la disponibilità pubblica del codice exploit-il che significa che chiunque, non solo hacker esperti, può lanciare attacchi. Gli operatori di botnet, come quelli dietro RondoDox, sono noti per andare a caccia di dispositivi non aggiornati, aggiungendoli a reti globali di hardware compromesso che possono essere usate per truffe, furto di dati o per lanciare ulteriori attacchi.

Perché è importante: lezioni dagli attacchi passati

Non è la prima volta che i router diventano preda dei cybercriminali. Il famigerato botnet Mirai, ad esempio, ha sfruttato vulnerabilità simili in dispositivi obsoleti per mettere in ginocchio parti di Internet nel 2016. La decisione di D-Link di non correggere il DIR-878-avendo terminato il supporto al modello nel 2021-crea un dilemma già visto: migliaia di router ancora attivi, disponibili sia nuovi che usati, rappresentano ora un rischio per i proprietari e per l’intera rete.

Autorità come la US Cybersecurity and Infrastructure Security Agency (CISA) classificano queste vulnerabilità come una minaccia moderata, ma avvertono che exploit pubblici potrebbero rapidamente aumentarne l’impatto. Il mercato dei dispositivi di rete economici, soprattutto nelle regioni in via di sviluppo, fa sì che molti utenti potrebbero non rendersi conto che i loro dispositivi sono fuori supporto ed esposti.

Cosa dovrebbero fare gli utenti?

Il consiglio di D-Link è diretto: sostituire i router vulnerabili con modelli che ricevono ancora aggiornamenti. Per chi non può aggiornare subito, gli esperti raccomandano di disabilitare la gestione remota e limitare l’accesso all’interfaccia web-di fatto, blindare il dispositivo il più possibile. Ma mentre la frontiera digitale diventa sempre più ostile, la storia del DIR-878 è un monito: nella cybersecurity, l’hardware di ieri può essere l’anello debole di domani.

WIKICROOK

• Esecuzione di codice remoto (RCE): L’esecuzione di codice remoto (RCE) si verifica quando un aggressore esegue il proprio codice su un sistema vittima, spesso ottenendo il pieno controllo o compromettendo il sistema stesso.
• Botnet: Una botnet è una rete di dispositivi infetti controllati a distanza da cybercriminali, spesso usata per lanciare attacchi su larga scala o rubare dati sensibili.
• Proof: Una Proof-of-Concept (PoC) è una dimostrazione che mostra come una vulnerabilità di sicurezza possa essere sfruttata, aiutando a validare e valutare i rischi reali.
• End: La crittografia end-to-end è un metodo di sicurezza in cui solo mittente e destinatario possono leggere i messaggi, mantenendo i dati privati anche da fornitori di servizi e hacker.
• Dynamic DNS (DDNS): Il Dynamic DNS (DDNS) è un servizio che mantiene un nome di dominio collegato a un indirizzo IP variabile, permettendo accessi remoti affidabili ma richiedendo una forte sicurezza.