В нескольких версиях прошивки Tenda содержится критическая недокументированная уязвимость типа "бэкдор" для аутентификации. Эта уязвимость, идентифицированная как CVE-2026-11405, позволяет злоумышленникам полностью обойти проверку пароля. Бэкдор находится в функции входа в систему бинарного файла веб-сервера /bin/httpd. Сначала он пытается выполнить стандартную проверку пароля по MD5. Если это не удается, он извлекает секретный пароль из конфигурации устройства. Затем система выполняет прямое сравнение введенного пароля в открытом виде с этим секретным значением. Важно отметить, что имя пользователя никогда не проверяется по этому пути бэкдора. Успешная эксплуатация предоставляет полный административный доступ, переопределяя любые настроенные учетные данные. Затем злоумышленники могут перенастроить устройство, изменить сетевые параметры и отключить меры безопасности. На данный момент Tenda не предоставила исправление для этой уязвимости. Стратегии смягчения последствий включают отключение удаленного управления и ограничение доступа к локальной сети путем изменения IP-адреса локальной сети по умолчанию.