De Chinese routerfabrikant Zbtlink ontkent dat allerlei routermodellen een backdoor bevatten, zoals cybersecuritybedrijf VulnCheck beweert. Wel heeft de fabrikant besloten om de verkoop van de betreffende modellen te staken en wordt de betreffende firmware niet meer aangeboden. Daarnaast zegt de fabrikant aan firmware-updates te werken die het probleem met het betreffende onderdeel verhelpen.

Jacob Baines, chief technology officer (CTO) van VulnCheck, publiceerde gisteren een blogposting waarin hij stelt dat de firmware van verschillende modellen Zbtlink-routers een backdoor bevat, die de naam ENDLESSDOORS heeft gekregen. Een onderdeel van de firmware maakt via TCP verbinding met een hardcoded command-and-control server, waarbij geen authenticatie en geen transportversleuteling wordt gebruikt. De server kan via een bepaald commando een interactieve root shell op de router krijgen. "Omdat het kanaal ongeauthenticeerd en cleartext is, is de controle niet beperkt tot degene die hem plaatste", aldus Baines over de backdoor. Die wordt ook aangeduid als CVE-2026-66747.

Baines vond in totaal 21 routermodellen die dezelfde backdoor bevatten, die met verschillende domeinen en ip-adressen communiceren. De onderzoeker adviseert de routers niet voor belangrijk verkeer te gebruiken en door een ander apparaat te vervangen. Op de eigen website meldt Zbtlink dat het hier niet om een backdoor gaat, maar een onderdeel bedoeld als 'after-sales technical support tool' om klanten te helpen die met problemen zitten. Dit zou alleen op verzoek van klanten gebeuren. Zbtlink stelt ook dat het onderdeel nooit voor ongeautoriseerde toegang is gebruikt.

Naar aanleiding van het onderzoek van VulnCheck heeft Zbtlink wel besloten om de verkoop van de betreffende modellen te staken. Tevens wordt de kwetsbare firmware niet meer aangeboden en zegt de routerfabrikant aan een firmware-update te werken om het probleem volledig te verhelpen. Routers van Zbtlink worden ook verkocht onder de merknamen ZBT, ZBTWiFi en Wiflyer.