CVE-2026-66747

Le firmware des routeurs Zbtlink embarque un implant de contrôle à distance intégré, ENDLESSDOORS, présent dans tous les builds publiés de la gamme de produits. Il s'agit de l'outil open-source ycsunjane/rctl intégré comme paquet OpenWrt (librctl.so), lancé au démarrage et exécuté en tant que root sous le nom de processus kworker pour se fondre dans les threads [kworker/*] du noyau. Il n'ouvre aucun port d'écoute ; il appelle son infrastructure via TCP en clair vers un serveur de commande et de contrôle codé en dur (canal de commande 7000, rappel de shell interactif 7001) sans authentification ni chiffrement de transport, en retentant le contact environ toutes les 35 secondes. Son gestionnaire de commandes transmet toute chaîne reçue à popen() en tant que uid=0, et une commande réservée rctlbash renvoie un shell root interactif. Comme le canal n'est ni authentifié ni chiffré, le contrôle n'est pas limité à celui qui l'a implanté : toute partie qui répond à l'adresse C2, occupe le chemin réseau (détournement DNS ou de route), ou acquiert le domaine de secours codé en dur obtient une exécution de code à distance non authentifiée en tant que root.