Jeżeli internet w domu dostajesz z pudełka T-Mobile, warto dziś zajrzeć do jednej strony w jego panelu, tej z numerem wersji oprogramowania. CERT Polska opisał 16 września sześć podatności w routerze WNC T-Mobile 5G Box IDU. Podatne są wszystkie wersje starsze niż 1.1.0.651412. Aktualizacja routera T-Mobile wygląda przy tym inaczej niż aktualizacja telefonu, bo podręcznik producenta opisuje wyłącznie ręczne wgranie pliku.
Co zgłosił CERT Polska i jakiego pudełka to dotyczy
CERT Polska opublikował ostrzeżenie 16 września. Zespół dostał zgłoszenie i koordynował ujawnienie luk z producentem. Podziękowania w ostrzeżeniu idą do Patryka Bogdana i Adama Borczyka.
Producentem sprzętu jest WNC, czyli Wistron NeWeb Corporation. Nazwa ta wychodzi z noty o prawach autorskich w obu podręcznikach użytkownika, jakie T-Mobile udostępnia do tego zestawu. Operator sprzedaje urządzenie pod własną marką, a w ostrzeżeniu figuruje ono jako T-Mobile 5G Box IDU. W Senuto widać zresztą, że część osób szuka go właśnie po skrócie producenta.
Poprawka jest jedna i nosi numer 1.1.0.651412. Wszystko starsze CERT opisuje jako podatne. Trzech rzeczy w tym ostrzeżeniu nie ma i warto o tym wiedzieć zawczasu. Nie ma ocen CVSS ani liczby urządzeń u klientów. Nie ma też informacji o tym, żeby ktokolwiek te luki wykorzystywał, więc sprawa wygląda inaczej niż sześć luk w MikroTik RouterOS, gdzie ataki potwierdzono.
Jedna rozbieżność krąży po relacjach. ITHardware napisał w pierwszym akapicie o siedmiu podatnościach, choć w treści wymienił sześć identyfikatorów, te same co CERT. Liczba, która ma pokrycie w dokumencie, to sześć.
IDU czy ODU: dwa pudełka, dwa panele, dwa numery wersji
To rozróżnienie decyduje o tym, czy ostrzeżenie w ogóle ciebie dotyczy, a łatwo je przegapić. Zestaw T-Mobile Internet 5G Home Office składa się z dwóch urządzeń.
ODU to jednostka zewnętrzna. Montuje się ją na ścianie, na słupku albo na podstawie, ma gniazdo karty SIM i kontrolki zasięgu 4G oraz 5G. IDU stoi w mieszkaniu i rozdaje sieć. W instrukcji ODU urządzenie IDU jest wymienione jako element zawartości opakowania, więc w domu mogą stać oba.
Każde z nich ma osobny panel i osobny numer wersji oprogramowania. Panel IDU siedzi pod adresem 192.168.1.1, a panel ODU pod adresem 192.168.0.1. Ostrzeżenie CERT wymienia z nazwy wyłącznie T-Mobile 5G Box IDU, czyli jednostkę wewnętrzną. O jednostce zewnętrznej nie mówi nic, więc nie warto rozciągać go na nią na własną rękę.
Jak sprawdzić wersję oprogramowania w 5G Box IDU
Droga do numeru wersji jest krótka i opisuje ją podręcznik użytkownika IDU.
- Podłącz komputer kablem Ethernet do portu RJ45 routera i upewnij się, że pobrał adres z DHCP.
- Wpisz w przeglądarce 192.168.1.1. Pojawi się ekran logowania.
- Przy pierwszym logowaniu użyj hasła z etykiety na spodzie urządzenia.
- Wejdź w Ustawienia, potem w Zarządzanie urządzeniem i na koniec w Aktualizacja. Podręcznik mówi wprost, że ta strona pokazuje bieżącą wersję oprogramowania routera.
- Porównaj to, co widzisz, z numerem 1.1.0.651412.
Podręcznik IDU wskazuje numer wersji tylko w tym jednym miejscu. Sekcja Status urządzenia na Stronie głównej pokazuje informacje o routerze i o połączeniu, ale dokument nie wylicza ich po kolei. W panelu jednostki zewnętrznej sprawa jest jaśniejsza: pozycja Informacje o urządzeniu wymienia z nazwy wersję oprogramowania i wersję modemu, obok nazwy urządzenia, IMEI i numeru użytkownika.
Czy aktualizacja routera T-Mobile przychodzi sama
Tu trzeba powiedzieć wprost, czego nie wiemy. CERT nie pisze, czy operator wgrywa poprawkę zdalnie. Po stronie T-Mobile Polska nie znaleźliśmy żadnego publicznego komunikatu w tej sprawie. Szukaliśmy w firmowej sekcji komunikatów i dokumentów, na blogu operatora, w materiałach pomocy dla usługi Internet 5G Home Office oraz przez wyszukiwanie ograniczone do domeny t-mobile.pl. Ani ITHardware, ani TechFormator nie cytują odpowiedzi operatora.
Wiemy natomiast, co opisuje producent. Strona Aktualizacja w panelu IDU działa tak: klikasz Browse, wskazujesz plik z oprogramowaniem, a potem klikasz Rozpocznij aktualizację. W panelu jednostki zewnętrznej jest analogiczna para przycisków Przeglądaj i Aktualizuj. W żadnym z podręczników nie ma przycisku, który sam sprawdza dostępność nowej wersji w sieci, ani opisu aktualizacji wykonywanej w tle.
Z tego wynikają dwa praktyczne wnioski. Pierwszy: numer wersji wypada sprawdzić samemu, bo cicha aktualizacja w tle nie jest w tym sprzęcie opisana. Drugi: samego pliku z oprogramowaniem nie ma w panelu, więc jeśli twoja wersja jest starsza, po plik albo po potwierdzenie zdalnej aktualizacji trzeba się zwrócić do obsługi operatora. Przy jednostce zewnętrznej pomocna bywa jeszcze jedna wskazówka z instrukcji: migające czerwone światło kontrolki zasilania oznacza uruchamianie albo trwającą aktualizację oprogramowania.
Sześć podatności i co każda z nich daje atakującemu
Trzy z szóstki obywają się bez danych logowania. Endpoint wnc_maccheck.cgi jest dostępny bez uwierzytelnienia i oddaje wrażliwe dane konfiguracyjne, w tym hasło administratora i hasło Wi-Fi. Luka oznaczona jako CVE-2026-58146 pozwala zdalnemu i nieuwierzytelnionemu atakującemu wykonać polecenia z uprawnieniami roota. Trzecia, CVE-2026-40854, omija sam mechanizm weryfikacji sesji i otwiera panel administracyjny.
Pozostałe trzy potrzebują dodatkowego warunku. Dwa wstrzyknięcia poleceń, CVE-2026-40855 w funkcji ping i CVE-2026-58147 przy zmianie hasła, wymagają zalogowania i kończą się uprawnieniami roota. CVE-2026-40857 jest podatnością na fałszowanie żądań, więc działa wtedy, gdy zalogowany użytkownik odwiedzi przygotowaną stronę.
Wspólny mianownik tej listy jest prosty. Pięć z sześciu pozycji prowadzi do wykonania poleceń albo do przejęcia panelu, a wszystkie zamyka jedna wersja oprogramowania. Router z przejętym systemem operacyjnym potrafi potem pracować dla kogoś innego, co opisywaliśmy przy okazji chińskiego botnetu działającego na cudzych routerach.
Zdalne zarządzanie to jedna opcja, która zmienia skalę problemu
W panelu IDU jest pozycja Zarządzanie, a w niej Dostęp w celu zarządzania zdalnego. Podręcznik opisuje ją krótko: zdalne zarządzanie można włączyć przez HTTP albo HTTPS i pozwala ono sterować routerem z zewnątrz.
Wyłączenie tej opcji ogranicza ekspozycję panelu i części opisanych luk, ale nie zastępuje aktualizacji. Nie usuwa na przykład scenariusza z CVE-2026-40857, gdzie wystarczy nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony. Jeśli numer wersji okazał się starszy niż 1.1.0.651412, warto mimo to zajrzeć w to miejsce i sprawdzić, czy zdalny dostęp jest wyłączony.
Sama zmiana hasła administratora, dostępna w pozycji Hasło logowania, nie usuwa ryzyka przed aktualizacją. Podatna wersja oprogramowania potrafi ujawnić również nowe hasło.
Pierwsza Misja AI · Kodożercy
AI zmienia rynek pracy. Zacznij rozumieć, o co chodzi.
Kurs Pierwsza Misja AI to najkrótszy kurs, po którym naprawdę rozumiesz AI, a na koniec możesz to pokazać certyfikatem. Fabuła w konwencji science fiction i gamifikacja sprawiają, że nie nudzisz się ani minuty.
Dołącz do kursantów →
Najczęstsze pytania
Czy trzeba wymienić router na nowy?
Nie wynika to z ostrzeżenia. CERT podaje, że problemy zostały rozwiązane w wersji oprogramowania 1.1.0.651412, a podatne są wersje starsze. Chodzi więc o oprogramowanie układowe, nie o sam sprzęt. Jeśli twoje urządzenie ma już tę wersję albo nowszą, nie ma tu nic do roboty. Jeśli ma starszą, poprawką jest nowa wersja, a nie nowe pudełko.
Skąd dowiem się o kolejnym takim ostrzeżeniu dla swojego sprzętu?
Najprostsza droga prowadzi przez darmowy serwis CERT Polska. Można tam wskazać technologie i urządzenia, których się używa, a system wysyła powiadomienia o nowych podatnościach dotyczących właśnie tej listy. Opisaliśmy to osobno w tekście o module podatności w moje.cert.pl. Takie powiadomienie zmniejsza ryzyko, że informacja o łatce dla domowego routera przejdzie obok właściciela.
Podsumowanie
Cała sprawa sprowadza się do jednego numeru. Wersja 1.1.0.651412 zamyka wszystkie sześć podatności, a każda starsza wersja T-Mobile 5G Box IDU jest według CERT Polska podatna. Numer swojego urządzenia zobaczysz w panelu pod adresem 192.168.1.1, w Ustawieniach, w sekcji Zarządzanie urządzeniem, na stronie Aktualizacja. Jednostka zewnętrzna ODU ma własny panel pod adresem 192.168.0.1 i własną wersję, a ostrzeżenie jej nie obejmuje. Czy operator wgrywa poprawkę zdalnie, publicznie nie wiadomo. Nie znaleźliśmy komunikatu T-Mobile, który by to wyjaśniał, a podręczniki producenta opisują tylko ręczne wgranie pliku. Do czasu aktualizacji warto sprawdzić, czy w panelu wyłączony jest zdalny dostęp do zarządzania. Zmianę hasła administratora zostaw na moment po aktualizacji.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
