Netgear ha rilasciato aggiornamenti per correggere falle di sicurezza su router e ripetitori Wi-Fi. I dispositivi a fine vita non riceveranno le correzioni e devono essere sostituiti.
Il 28 ottobre 2026 Netgear ha pubblicato il bollettino di sicurezza ufficiale (ID articolo 000070958), ripreso il 31 ottobre dalla testata Tom's Hardware, per correggere diverse falle di gravità media e alta nei propri apparati di rete. L'avviso fa il punto sulle vulnerabilità router Netgear: modelli a rischio e ripetitori Wi-Fi esposti ad attacchi locali necessitano di interventi immediati. La prima cosa da fare in azienda è censire gli apparati: aggiornare i modelli supportati e pianificare la sostituzione di quelli a fine vita (End-of-Support).
Le vulnerabilità tracciate dal bollettino Netgear
Il documento tecnico evidenzia tre criticità principali che colpiscono diverse famiglie di dispositivi commerciali e semi-professionali:
- CVE-2026-11732: risiede in un difetto di convalida degli input nella funzione di filtraggio dei siti web ("Block Sites"). Un utente malintenzionato già connesso alla rete locale può inviare comandi arbitrari al router, a condizione che la funzione sia attiva. I modelli interessati includono CAX30 (risolto con il firmware V2.3.4.12), RAX30 (V1.0.14.108) e RAXE300 (V1.0.10.72). Il modello RAX5 riceve la versione V1.0.5.34, indicata come l'ultimo aggiornamento prima del termine definitivo del supporto.
- CVE-2026-11731: permette di eludere l'autenticazione sui router della serie RAX (inclusi RAX28, RAX29 e RAX30). Un utente non autenticato sulla rete locale può accedere al pannello di gestione, visualizzare dati riservati o modificare le impostazioni amministrative.
- CVE-2026-11730: riguarda una debolezza nella generazione casuale degli identificatori di sessione nei ripetitori Wi-Fi della serie EX. Questo difetto consente di prevedere l'identificativo e dirottare una sessione amministrativa già attiva. Colpisce i modelli EX6120 e EX3700.
Il problema degli apparati a fine vita (EoS)
Nelle piccole e medie imprese, così come nelle postazioni di telelavoro, è frequente l'impiego di apparati di fascia commerciale per gestire la connettività. Il bollettino Netgear evidenzia un problema gestionale critico: non tutti i dispositivi ricevono le correzioni.
Apparati come il ripetitore EX3700 o il modem router Orbi CBR40 hanno raggiunto la fase di fine supporto (EoS - End-of-Support). Per questi modelli, l'ultimo firmware disponibile sul sito del produttore non include le correzioni per le falle segnalate. Mantenere in uso dispositivi non più aggiornabili espone l'infrastruttura a movimenti laterali: un attaccante, o un dispositivo infetto connesso alla rete ospiti, può sfruttare il router vulnerabile per intercettare il traffico o manomettere i server DNS aziendali.
Inoltre, l'impiego di hardware obsoleto e privo di supporto attivo costituisce una violazione dei requisiti di sicurezza richiesti dalle normative sulla protezione dei dati (GDPR) e dalla direttiva europea sulle reti (NIS2).
Cosa fare per mettere in sicurezza la rete
Per proteggere l'infrastruttura aziendale, è necessario intervenire con i seguenti passaggi:
- Censire gli apparati: verificare marca, modello e versione del firmware di tutti i router, modem e ripetitori installati nelle sedi principali e nelle postazioni remote.
- Aggiornare i modelli supportati: scaricare e applicare i firmware correttivi ufficiali accedendo al pannello web del dispositivo o tramite il sito di supporto Netgear. Dove possibile e affidabile, abilitare gli aggiornamenti automatici.
- Sostituire i dispositivi a fine vita: pianificare la dismissione immediata dei modelli non più supportati (come Orbi CBR40 ed EX3700), sostituendoli con apparati di grado aziendale coperti da un ciclo di manutenzione attiva.
- Applicare misure temporanee di mitigazione: se non è possibile aggiornare o sostituire immediatamente i dispositivi, disabilitare la funzione "Block Sites" sui router interessati dalla vulnerabilità CVE-2026-11732. Segregare il traffico Wi-Fi e i ripetitori non aggiornati su una rete virtuale isolata (VLAN), impedendo l'accesso ai server interni. Infine, disattivare l'accesso remoto all'interfaccia di amministrazione e modificare le credenziali predefinite.
Verificate oggi stesso l'elenco degli apparati di rete attivi nella vostra azienda per confermare che siano ancora supportati dal produttore.
