פגיעות ללא תיקון בראוטרים של Calix מאפשרת עקיפת NAT וחשיפת מכשירים ביתיים

פגיעות שהתגלתה בראוטרים ביתיים של Calix, המופצים על ידי ספקיות אינטרנט אמריקאיות גדולות, מאפשרת לתוקף מרוחק וללא הזדהות ליצור כללי הפניית פורטים על הראוטר ולחשוף מכשירים שיושבים מאחורי ה-NAT — כמו מצלמות אבטחה, אחסון רשת (NAS) ומכשירי IoT — לאינטרנט הפתוח. Calix לא הגיבה לניסיונות יצירת קשר מאז יוני 2026, ואין כרגע עדכון זמין.

מנעול דיגיטלי שבור מעל ראוטר ביתי, איור למגזין אבטחת מידע

מזהה	CVE-2026-75501
מוצר וגרסאות מושפעות	Calix GS7 XGS (דגם GS5239XG, משווק גם כ-GigaSpire 7u10txg), קושחת EXOS/6.6.47 וגרסאות קודמות לה
חומרה (CVSS)	לא פורסם
מנוצל בפועל	לא — לפי CERT/CC ו-BleepingComputer אין דיווח על ניצול בשטח נכון לפרסום הגילוי
סטטוס תיקון	אין עדכון קושחה זמין; Calix לא הגיבה לגילוי האחראי

מה קרה

שורש הבעיה הוא שירות ה-UPnP WANIPConnection של הראוטר, שאמור לשרת רק מכשירים ברשת המקומית אך נקשר בפועל גם לממשק ה-WAN הציבורי, בפורט TCP 5000, וזאת ללא כל דרישת הזדהות. כך יכול תוקף מהאינטרנט לשלוח בקשות SOAP ישירות לשירות, לשאול ולשנות כללי מיפוי פורטים קיימים וליצור כללי הפניה חדשים — כלומר לעקוף את הגנת ה-NAT שאמורה להסתיר את הרשת הביתית מהעולם החיצון.

החוקר שגילה את הפגיעות פנה ל-Calix ב-7 ביוני 2026 אך לא קיבל מענה, ולבסוף העביר את הממצאים למרכז התיאום של CERT/CC באוניברסיטת קרנגי מלון, שפרסם את הגילוי באופן פומבי. הראוטרים הפגיעים מופצים בין היתר על ידי ספקיות כמו Cox Communications, Brightspeed, ALLO, CityFibre ו-Conexon.

נקודות לשים לב

אם יש בביתכם או בארגונכם ראוטר מדגם Calix GS7 XGS / GS5239XG — כנסו לממשק הניהול (בדרך כלל תחת Advanced → Security → UPnP) ובדקו אם UPnP מופעל.
כל עוד אין תיקון, כבו את UPnP ידנית. אם האפשרות נעולה או לא זמינה בממשק שלכם — פנו לספקית האינטרנט וביקשו לנטרל אותה ברמת הרשת.
לאחר כיבוי UPnP, שירותים שהסתמכו על הפניית פורטים אוטומטית (כמו משחקים מקוונים או מצלמות מרוחקות) עשויים לדרוש הגדרה ידנית מחדש.
אין עדיין עדכון קושחה רשמי מ-Calix — עקבו אחרי הודעות הספקית שלכם, וכל עוד לא פורסם תיקון, ההנחה צריכה להיות שהראוטר חשוף.
מכשירים שנחשפו כתוצאה מהפגיעות (מצלמות, NAS) עלולים כבר להיות מטרה לסריקות אינטרנט — כדאי לוודא שגם להם יש סיסמה חזקה ולא ברירת מחדל.