Sicherheitsforscher haben in Routern des chinesischen Herstellers Shenzhen Zhibotong Electronics, kurz ZBT oder Zbtlink, mehrere ab Werk vorhandene Komponenten entdeckt, die weitreichende Fernzugriffe auf die Geräte ermöglichen. Nach neuen Untersuchungen der US-Sicherheitsfirma VulnCheck können einzelne dieser Programme Befehle mit höchsten Systemrechten ausführen, Zugangsdaten übertragen oder die DNS-Konfiguration eines Routers verändern.
Die jüngsten Ergebnisse wurden am 27. August 2026 veröffentlicht. VulnCheck bezeichnet die beiden neu analysierten Komponenten als DARKLANTERN und SPEAKINGSTONE. Bereits Anfang August hatte das Unternehmen mit ENDLESSDOORS eine weitere Fernzugriffsfunktion in Firmware zahlreicher Zbtlink-Modelle offengelegt.
Die Fernzugriffe in ZBT-Routern sind deshalb besonders relevant, weil ZBT nicht nur Geräte unter eigenem Namen vertreibt. Hardware des Unternehmens wird auch von anderen Anbietern unter eigenen Marken verkauft. Entsprechende Geschäftsbeziehungen und Geräteplattformen lassen sich nach Angaben der Forscher unter anderem in den USA, Kanada, Australien und Deutschland nachvollziehen.
Eine Verbindung zu einer staatlichen chinesischen Stelle ist durch die Untersuchungen nicht nachgewiesen. Auch die Frage, zu welchem ursprünglichen Zweck sämtliche gefundenen Komponenten entwickelt wurden, ist nicht abschließend geklärt.
Ausgangspunkt der jüngsten Untersuchung war ein in den USA gekaufter LTE-Router der Marke Deep Orange. VulnCheck identifizierte das Gerät als umbenannte Variante der ZBT-Plattform WE826-T2. Seine Firmware stammte aus dem Jahr 2019.
Darin fanden die Forscher zwei bis dahin nicht öffentlich dokumentierte Komponenten. DARKLANTERN läuft als Dienst mit der Bezeichnung infosrvd. Nach der technischen Analyse lauscht er auf dem UDP-Port 9992. Die Standard-Firewall der untersuchten Firmware erlaubte Verbindungen auf diesen Port aus dem Internet.
Das Protokoll besitzt nach Darstellung von VulnCheck keinen wirksamen Schutz gegen unberechtigte Befehle. Ein fest eingebauter Prüfmechanismus könne umgangen werden. Dadurch sei es möglich, Kommandos mit Root-Rechten auszuführen. Root ist bei Linux-Systemen die höchste Berechtigungsstufe.
Zwischen dem 18. und 21. August identifizierte VulnCheck nach eigenen Messungen 203 aus dem Internet erreichbare DARKLANTERN-Instanzen in 22 Staaten. Die Geräte meldeten insgesamt 16 unterschiedliche Modellbezeichnungen. Die Messung zeigt, dass entsprechende Systeme tatsächlich erreichbar waren. Sie belegt jedoch nicht, dass sämtliche Geräte bereits von Dritten missbraucht wurden.
Die zweite neu beschriebene Komponente SPEAKINGSTONE arbeitet anders. Sie wartet nicht auf eingehende Verbindungen, sondern nimmt selbst Kontakt zu einem externen Server auf. Dadurch kann diese Kommunikation grundsätzlich auch funktionieren, wenn sich ein Router hinter NAT oder einer Firewall befindet.
Die von VulnCheck analysierte Software kann unter anderem beliebige Befehle ausführen, einen Rückkanal per SSH öffnen und Einstellungen für die Namensauflösung verändern. Besonders sensibel ist eine Funktion zur Übermittlung von PPPoE-Zugangsdaten. Solche Daten können bei bestimmten Internetanschlüssen für die Anmeldung beim Provider genutzt werden.
Die Software überträgt zudem Geräteinformationen wie Modell, Firmwareversion, MAC-Adresse, WLAN-Namen, lokale IP-Adresse und Betriebsdauer.
Als primärer Kommunikationsserver war in dem untersuchten Router eine Domain hinterlegt, die mit einer IP-Adresse bei Alibaba Cloud in Shenzhen verbunden war. Daraus lässt sich allein keine Aussage darüber ableiten, wer die Funktion tatsächlich betrieben oder genutzt hat.
VulnCheck entdeckte in SPEAKINGSTONE zusätzlich eine Ersatzdomain, die zum Zeitpunkt der Untersuchung nicht mehr registriert war. Die Forscher registrierten sie selbst und richteten einen sogenannten Sinkhole-Server ein. Solche Systeme werden in der IT-Sicherheitsforschung genutzt, um automatisierte Verbindungen potenziell betroffener Geräte zu beobachten.
Bis zum 21. August meldeten sich demnach 392 verschiedene Geräte. 390 davon befanden sich in China. 83 Prozent nutzten nach Angaben von VulnCheck das Netz von China Mobile. Bei 304 Geräten begann die WLAN-Kennung mit CMCC, der Verbraucher-Marke des chinesischen Mobilfunkanbieters.
363 Geräte meldeten sich als Modell L3_V2_8 mit derselben Firmwareversion. VulnCheck vermutet deshalb einen Einsatz als Zugangsgerät eines Telekommunikationsanbieters.
Diese Zahlen bilden allerdings nicht den vollständigen Bestand betroffener Router ab. Geräte, die ausschließlich den weiterhin erreichbaren primären Server kontaktieren, erscheinen in dieser Messung nicht.
Bereits am 5. August hatte VulnCheck ENDLESSDOORS öffentlich gemacht. Diese Komponente wurde in Firmware für mehr als 20 Zbtlink-Modelle gefunden. Sie startet nach Angaben der Sicherheitsforscher automatisch beim Hochfahren, läuft mit Root-Rechten und nimmt regelmäßig Kontakt zu fest hinterlegter Infrastruktur auf.
Problematisch ist vor allem, dass die untersuchte Kommunikation weder ausreichend authentifiziert noch verschlüsselt ist. Dadurch könnte nicht nur ein ursprünglich vorgesehener Betreiber Befehle übertragen. Unter bestimmten Netzwerkbedingungen könnten auch andere Angreifer die Kontrolle übernehmen.
Zbtlink widersprach damals der Darstellung, es handele sich um eine absichtlich für unbefugte Zugriffe geschaffene Hintertür. Das Unternehmen erklärte, die betreffende Funktion sei für technischen Kundendienst und Fernwartung vorgesehen und solle nur auf ausdrücklichen Wunsch eines Kunden genutzt werden.
Nach Bekanntwerden der Schwachstelle setzte Zbtlink den Verkauf betroffener Geräte vorübergehend aus und entfernte Firmwaredateien von seiner Internetseite, während Aktualisierungen vorbereitet wurden. Eine vergleichbare öffentliche Erklärung von Zbtlink speziell zu DARKLANTERN und SPEAKINGSTONE lag zunächst nicht vor.
VulnCheck dokumentierte DARKLANTERN unter anderem auf Geräten mit den Bezeichnungen WE1326, WE2426-C, WE357, WE5926, WE826-Q, WE826-T2, WE826-WD, WG108 und WG3526. Hinzu kommen weitere Gerätebezeichnungen, bei denen der Anbieter nicht eindeutig bestimmt werden konnte.
Bei SPEAKINGSTONE wurden unter anderem WE826-T2, L3_V2_8, ZBT-7628 sowie mehrere Modelle des Firmwareentwicklers MoreQuick registriert.
Für ENDLESSDOORS hatte auch das kanadische Cyber Centre Anfang August eine offizielle Sicherheitswarnung veröffentlicht. Darin werden unter anderem die Modelle CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WG108, WG1602, WG209, WG2105, WG2107, WG259 und WG3526 mit bestimmten Firmwareständen genannt.
Entscheidend ist dabei die Kombination aus Hardware und Firmware. Ein baugleiches Gerät muss nicht zwangsläufig dieselben Komponenten enthalten.
ZBT produziert in erheblichem Umfang Hardware, die von anderen Firmen unter eigenem Namen angeboten wird. Dadurch lässt sich anhand des Markennamens eines Routers nicht immer erkennen, wer die zugrunde liegende Plattform hergestellt hat.
VulnCheck nennt in diesem Zusammenhang zwei Beispiele aus Deutschland. Der Anbieter Digineo vertrieb demnach einen AC1200 Pro auf Basis der ZBT-Plattform WG3526. Zudem wurde der ALL-WR1200AC-WRT des deutschen Anbieters ALLNET von OpenWrt als OEM-Variante einer ZBT-Plattform eingeordnet.
Daraus folgt jedoch nicht automatisch, dass diese deutschen Handelsmodelle eine der gefundenen Fernzugriffskomponenten enthalten. VulnCheck weist selbst darauf hin, dass Anbieter eigene Firmware einsetzen können. Bei einem untersuchten Gerät des kanadischen Herstellers MOFI fanden die Forscher trotz ZBT-Hardware beispielsweise keines der drei Implantate.
Für eine flächendeckende Betroffenheit deutscher Haushalte gibt es deshalb bislang keine Grundlage. Auch eine bestätigte Zahl betroffener Geräte in Deutschland liegt nicht vor.
Die technische Bedeutung der Funde wird inzwischen auch durch veröffentlichte Schwachstellenkennungen dokumentiert. DARKLANTERN wird unter CVE-2026-74233 geführt, SPEAKINGSTONE unter CVE-2026-74232. Beide erreichen bei der Bewertung nach CVSS 3.1 einen Wert von 9,8 von maximal 10 Punkten.
Das kanadische Cyber Centre hatte bereits für ENDLESSDOORS eine Warnung veröffentlicht und Nutzern sowie Administratoren empfohlen, verfügbare Sicherheitsupdates einzuspielen.
In den USA hat die Diskussion über Router aus ausländischer Produktion inzwischen eine wesentlich größere regulatorische Dimension. Die US-Kommunikationsbehörde FCC nahm im März 2026 neu zuzulassende, im Ausland hergestellte Verbraucherrouter in ihre sogenannte Covered List auf. Bereits zugelassene Geräte dürfen dadurch nicht automatisch nicht mehr genutzt oder verkauft werden.
Ein unmittelbarer Beleg für einen Zusammenhang zwischen dieser allgemeinen US-Regelung und den jetzt untersuchten ZBT-Komponenten ist das nicht.
Nutzer sollten zunächst die genaue Modellbezeichnung und die installierte Firmwareversion ihres Routers prüfen. Bei Geräten aus den veröffentlichten Modellreihen sollten verfügbare Firmwareupdates des jeweiligen Anbieters installiert werden.
Besonders bei älteren Geräten ohne aktuelle Sicherheitsupdates kann ein Austausch die sicherere Lösung sein. Unternehmen und technisch erfahrene Nutzer können außerdem ungewöhnliche ausgehende Verbindungen überwachen und die von VulnCheck veröffentlichten Erkennungsregeln und technischen Indikatoren einsetzen.
Bei Geräten, deren tatsächlicher Hersteller wegen einer OEM-Konstruktion unklar ist, können Modellnummer, Firmwarebezeichnung und teilweise auch die MAC-Adresse Hinweise auf die zugrunde liegende Hardwareplattform liefern.
Die aktuellen Funde zeigen vor allem ein strukturelles Problem bei Netzwerkgeräten mit langen und schwer nachvollziehbaren Lieferketten. Ein Router kann unter einer westlichen Marke verkauft werden, obwohl Hardware und Teile der Software von einem anderen Hersteller stammen. Welche Funktionen tatsächlich auf einem konkreten Gerät installiert sind, lässt sich deshalb nur anhand seiner Firmware zuverlässig beurteilen.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu