Una vulnerabilità non corretta nei router Calix GS7 XGS consente ad attaccanti remoti di creare regole di port forwarding, esponendo dispositivi della rete domestica a internet e aggirando le protezioni NAT e firewall.
Una vulnerabilità critica e ancora non risolta nei router residenziali Calix GS7 XGS (GS5239XG), diffusi tra diversi provider broadband statunitensi, permette ad attaccanti remoti e non autenticati di creare regole di port forwarding che espongono i dispositivi interni della rete domestica a internet. Il problema, identificato come CVE-2026-75501, riguarda i dispositivi con firmware EXOS/6.6.47 e nasce da una mancanza di autenticazione nell'accesso a determinati servizi del router.
La falla è stata scoperta dal ricercatore Brian Khan Quintana, che ha tentato senza successo di contattare Calix il 7 giugno. Dopo vari tentativi andati a vuoto, Quintana si è rivolto al CERT Coordination Center della Carnegie Mellon, che ha poi coordinato la divulgazione pubblica della vulnerabilità. Quintana ha pubblicato anche i dettagli tecnici, sottolineando come il modello GS5239XG, noto anche come GigaSpire 7u10txg, sia un gateway premium di nuova generazione con Wi-Fi 7 e terminale XGS-PON integrato, adottato da operatori come Cox Communications, Brightspeed, ALLO, CityFibre e Conexon.
Come funziona l'attacco e quali rischi comporta
La vulnerabilità CVE-2026-75501 deriva dall'esposizione dell'endpoint di controllo MiniUPnPd sull'interfaccia WAN, porta TCP 5000, senza alcun controllo di accesso. In queste condizioni, il servizio UPnP WANIPConnection SOAP del router è accessibile pubblicamente e consente a chiunque su internet di inviare richieste SOAP non autenticate per aggiungere, eliminare o elencare le regole di port mapping, oppure per ottenere l'indirizzo IP esterno del dispositivo.
Questo permette di aggirare le protezioni NAT e firewall del router, esponendo a internet dispositivi come telecamere interne, NAS, interfacce amministrative e dispositivi IoT. Quintana sottolinea che basta una sola richiesta non autenticata da qualsiasi parte del mondo per aprire una porta permanente verso un dispositivo interno, senza password né avvisi, e che la regola sopravvive anche al riavvio del router.
Azioni possibili per gli attaccanti e test effettuati
Un attaccante può quindi creare regole di port forwarding arbitrarie, cancellare quelle esistenti, elencare tutte le regole attive e recuperare l'IP pubblico del router. Quintana ha verificato la vulnerabilità inviando richieste dall'esterno della propria rete domestica, riuscendo a esporre un indirizzo interno tramite una regola di port mapping che rimaneva attiva anche dopo il riavvio del dispositivo.
In pratica, chiunque su internet può ordinare ai router Calix vulnerabili di inoltrare il traffico da una porta pubblica a un dispositivo scelto all'interno della rete domestica, con gravi rischi per la privacy e la sicurezza degli utenti.
Soluzioni temporanee e raccomandazioni
Poiché al momento non esiste una patch per CVE-2026-75501, Quintana consiglia agli utenti dei router coinvolti di disattivare la funzione UPnP tramite l'interfaccia amministrativa (Avanzate > Sicurezza > UPnP). Questa soluzione impedisce l'apertura automatica delle porte, funzione richiesta da alcuni giochi online, ma consente comunque di configurare manualmente le regole necessarie. CERT/CC avverte che in alcuni casi l'impostazione potrebbe essere bloccata e, in tal caso, è opportuno contattare il proprio provider per richiederne la disattivazione.
Il caso ricorda altri episodi recenti in cui vulnerabilità non corrette hanno esposto infrastrutture critiche a rischi elevati: ad esempio, CISA ha recentemente imposto patch urgenti per falle critiche in TrueConf Server, evidenziando l'importanza di una risposta tempestiva da parte dei vendor.
BleepingComputer ha contattato Calix per un commento sulla vulnerabilità, sui modelli coinvolti e sull'eventuale rilascio di una patch, ma al momento della pubblicazione non ha ricevuto risposta.
