Appena collegato alla rete elettrica, il router di casa comincia a telefonare in Cina ogni 35 secondi in cerca di ordini. Non � uno scenario ipotetico: � quello che i ricercatori di VulnCheck hanno documentato analizzando i firmware dei router prodotti da Shenzhen Zhibotong Electronics e venduti con i marchi Zbtlink e Wiflyer, oltre a diverse etichette bianche distribuite su Amazon e Shopify (anche in Italia si trovano modelli prodotti da questi brand).
Il team ha battezzato la scoperta ENDLESSDOORS, tracciata come CVE-2026-66747, e la descrive come uno degli impianti pi� sfacciati mai trovati in un dispositivo di rete consumer.
Il perno del problema � un componente chiamato rctl (remote control linux), un client/server di comando e controllo caricato su GitHub il 14 gennaio 2015 e mai pi� aggiornato da allora. Nei router Zbtlink gira mascherato da processo di sistema, con nomi come kworker, per confondersi con i normali processi del kernel Linux. Si avvia al boot tramite uno script di init firmato dal produttore stesso, non tramite un exploit successivo: � parte integrante del firmware di fabbrica.
A rendere la falla insidiosa � la direzione della connessione. Il router non resta in ascolto in attesa di essere raggiunto dall'esterno, ma � lui a contattare attivamente i server di comando, tra cui il dominio zbtctl.epplink.net e altri indirizzi ospitati su Alibaba Cloud a Shanghai e Shenzhen, insieme a server secondari su Vultr e su un provider cinese del Jiangsu. Il traffico attraversa quindi NAT e firewall come una normale sessione in uscita, rendendo irrilevante il fatto che il dispositivo abbia o meno un indirizzo IP pubblico esposto.
