🔐 استفاده از یک روتر معمولاً آن‌قدر عادی است که کمتر کسی به نرم‌افزار داخلی آن فکر می‌کند. دستگاه را به برق می‌زنیم، سیم‌کارت یا اینترنت را متصل می‌کنیم و انتظار داریم شبکه بی‌دردسر کار کند. اما اتفاقی که در ماه اوت ۲۰۲۶ درباره برخی روترهای مودم ZBTLink گزارش شده، دقیقاً همین بخش کمتر دیده‌شده تجهیزات شبکه را زیر ذره‌بین برده است.

پژوهشگران شرکت امنیت سایبری VulnCheck ابتدا از شناسایی مؤلفه‌ای به نام ENDLESSDOORS در فریمور بیش از ۲۰ مدل روتر مودم ZBTLink خبر دادند. بر اساس گزارش این شرکت، این مؤلفه با سطح دسترسی ریشه اجرا می‌شود و برای برقراری ارتباط خروجی با یک زیرساخت کنترل از راه دور طراحی شده است.

ماجرا اما در همین‌جا متوقف نشد. در گزارش منتشرشده در ۲۷ اوت، پژوهشگران از شناسایی دو مؤلفه دیگر با نام‌های DARKLANTERN و SPEAKINGSTONE خبر دادند؛ دو موردی که به گفته آنها در برخی فریمورهای ZBT دیده شده‌اند و قابلیت‌های متفاوتی برای ارتباط یا کنترل از راه دور دارند.

موضوع به همین دلیل از یک آسیب‌پذیری معمولی فراتر رفته است. البته یک نکته مهم را نباید فراموش کرد: وجود یک مؤلفه مشکوک یا بک‌دور به‌تنهایی ثابت نمی‌کند که همه کاربران ZBTLink مورد جاسوسی قرار گرفته‌اند یا از همه دستگاه‌ها سوءاستفاده شده است. آنچه فعلاً می‌دانیم، یافته‌های پژوهشگران درباره برخی فریمورها و مدل‌هاست.

🔎 ZBTLink چیست و چرا این ماجرا اهمیت دارد؟

ZBTLink نام تجاری مرتبط با شرکت چینی Shenzhen Zhibotong Electronics است؛ شرکتی که در حوزه تجهیزات شبکه فعالیت می‌کند و برخی محصولات آن به شکل محصول اصلی یا White-label/OEM با نام‌های دیگری نیز عرضه شده‌اند. پژوهشگران VulnCheck در بررسی زنجیره تأمین، ارتباط پلتفرم‌های ZBT را با محصولات و برندهای مختلف در چند کشور گزارش کرده‌اند.

همین موضوع باعث می‌شود یک مشکل امنیتی در یک فریمور خاص الزاماً فقط به محصولی با لوگوی ZBTLink محدود نشود.

در بازار تجهیزات شبکه، یک شرکت ممکن است سخت‌افزار را از تولیدکننده دیگری تهیه کند و سپس آن را با برند خودش بفروشد. اگر فریمور مورد استفاده مشترک باشد، یک ایراد امنیتی می‌تواند در چند محصول متفاوت ظاهر شود.

به زبان ساده، مسئله فقط این نیست که «آیا روی روتر من لوگوی ZBTLink وجود دارد؟» بلکه باید مدل سخت‌افزار و فریمور نیز مورد توجه قرار گیرد.

⚠️ پژوهشگران دقیقاً چه چیزی پیدا کرده‌اند؟

ماجرای فعلی را می‌توان در سه مرحله اصلی دنبال کرد.

ENDLESSDOORS؛ شروع ماجرا

VulnCheck در پنجم اوت ۲۰۲۶ از مؤلفه‌ای به نام ENDLESSDOORS خبر داد. طبق گزارش این شرکت، این مؤلفه در بیش از ۲۰ مدل روتر مودم ZBTLink دیده شده و به‌صورت پیش‌فرض فعال بوده است.

پژوهشگران می‌گویند ENDLESSDOORS برخلاف بسیاری از آسیب‌پذیری‌های رایج که از طریق یک پورت ورودی مورد سوءاستفاده قرار می‌گیرند، ارتباط را از داخل دستگاه به سمت یک سرور خارجی برقرار می‌کند. آنها این رفتار را نوعی Phone-home implant توصیف کرده‌اند.

نکته نگران‌کننده از نگاه پژوهشگران این است که ارتباط گزارش‌شده رمزنگاری و احراز هویت مناسبی نداشته است. در چنین شرایطی، امنیت ارتباط صرفاً به این وابسته نیست که چه کسی در ابتدا زیرساخت را کنترل می‌کند؛ بلکه مسیر ارتباط نیز می‌تواند اهمیت پیدا کند.

DARKLANTERN؛ یک مسیر متفاوت برای دسترسی

در بررسی‌های بعدی، پژوهشگران با مؤلفه‌ای به نام DARKLANTERN مواجه شدند.

طبق advisory منتشرشده توسط VulnCheck، DARKLANTERN با سرویس infosrvd مرتبط است و در برخی نسخه‌های قدیمی فریمور مودم ZBTLink امکان اجرای فرمان بدون احراز هویت مؤثر را ایجاد می‌کند. VulnCheck این مورد را با شناسه CVE-2026-74233 و شدت CVSS نسخه چهارم 9.3 ثبت کرده است.

در اینجا تفاوت مهمی با ENDLESSDOORS دیده می‌شود. DARKLANTERN به گفته پژوهشگران مانند یک سرویس قابل دسترس از شبکه عمل می‌کند، در حالی که ENDLESSDOORS بیشتر به ارتباط خروجی و اصطلاحاً Phone-home متکی بوده است.

SPEAKINGSTONE؛ سومین قطعه پازل

در گزارش ۲۷ اوت، VulnCheck از مؤلفه دیگری با نام SPEAKINGSTONE پرده برداشت.

پژوهشگران می‌گویند این مؤلفه نیز برای ارتباط خروجی با زیرساخت کنترل از راه دور طراحی شده و می‌تواند اطلاعاتی درباره وضعیت دستگاه ارسال کند. در گزارش آنها مواردی مانند مدل دستگاه، نسخه فریمور، MAC Address، SSID و برخی اطلاعات شبکه در پیام‌های ارسالی ذکر شده است.

VulnCheck همچنین ادعا کرده که SPEAKINGSTONE قابلیت‌هایی برای اجرای فرمان، تغییر تنظیمات DNS و ایجاد تونل ارتباطی دارد. این ادعاها از نظر امنیتی بسیار مهم‌اند، اما همچنان باید آنها را به‌عنوان یافته‌های پژوهشگران بیان کرد، نه اینکه بدون قید و شرط نتیجه بگیریم تمام دستگاه‌های مودم ZBTLink  چنین رفتاری دارند.

🌐 چند مدل مودم ZBTLink تحت تأثیر قرار گرفته‌اند؟

پاسخ ساده‌ای مثل «تمام مودم‌های ZBTLink» وجود ندارد.

مرکز امنیت سایبری کانادا در هشدار منتشرشده در ۵ اوت، مجموعه‌ای از مدل‌ها و نسخه‌های فریمور مشخص را فهرست کرده است؛ از جمله CPE2801، WE1026-5G-WD، WE1326، WE2007، WE2008-DSIM، WE2416، WE3326، WE5927، WE5931، WE826-T3-DSIM و چند مدل دیگر.

از سوی دیگر، گزارش جدید VulnCheck درباره DARKLANTERN مجموعه دیگری از مدل‌های قدیمی‌تر را مطرح می‌کند؛ از جمله WE1326، WE2426-C، WE357، WE5926، WE826-T2، WE826-WD، WG108 و WG3526.

بنابراین نمی‌توان صرفاً بر اساس نام برند درباره وضعیت امنیتی یک دستگاه تصمیم گرفت.

مدل دقیق + نسخه فریمور دو اطلاعات بسیار مهم هستند.

🧩 جدول خلاصه وضعیت گزارش‌شده

🚨 چرا بک‌دور در روتر خطرناک است؟

روتر برخلاف بسیاری از وسایل دیجیتال، در نقطه‌ای قرار دارد که ترافیک تعداد زیادی دستگاه از آن عبور می‌کند.

گوشی، لپ‌تاپ، تلویزیون هوشمند، دوربین، کنسول بازی و حتی تجهیزات اداری ممکن است به یک روتر متصل باشند.

به همین دلیل اگر کنترل یک روتر به دست فرد غیرمجاز بیفتد، نگرانی فقط درباره خود روتر نیست.

تغییر مسیر ارتباطات

یکی از مهم‌ترین نگرانی‌های مطرح‌شده درباره SPEAKINGSTONE، امکان دستکاری تنظیمات DNS است. DNS نقش مهمی در تبدیل نام سایت‌ها به آدرس‌های شبکه دارد.

در نتیجه، دستکاری DNS می‌تواند در سناریوهای مخرب باعث شود کاربر به مقصدی متفاوت از مقصد مورد انتظار هدایت شود.

این موضوع برای شبکه‌های سازمانی اهمیت بیشتری دارد.

مشاهده اطلاعات شبکه

اطلاعاتی مانند مدل دستگاه، نسخه فریمور، MAC Address و مشخصات شبکه ممکن است برای شناسایی و دسته‌بندی یک دستگاه مورد استفاده قرار بگیرند.

خود این اطلاعات لزوماً به معنی سرقت داده‌های شخصی نیستند، اما می‌توانند دید مناسبی از محیط شبکه ایجاد کنند.

اجرای فرمان با سطح دسترسی بالا

یکی از جدی‌ترین بخش‌های گزارش‌های VulnCheck مربوط به امکان اجرای فرمان با سطح دسترسی ریشه در برخی از این مؤلفه‌هاست.

این موضوع اهمیت امنیت فریمور روتر را نشان می‌دهد؛ زیرا دسترسی سطح بالا می‌تواند کنترل گسترده‌ای بر سیستم‌عامل دستگاه ایجاد کند.

🕵️ آیا مودم ZBTLink واقعاً در حال جاسوسی از کاربران است؟

این سؤال احتمالاً یکی از پرتکرارترین پرسش‌های کاربران خواهد بود، اما پاسخ آن نیازمند دقت است.

صرف کشف یک مؤلفه با قابلیت دسترسی از راه دور، به‌تنهایی اثبات نمی‌کند که همه کاربران توسط سازنده جاسوسی شده‌اند.

در واقع باید سه موضوع را از هم جدا کرد:

وجود قابلیت دسترسی،
امکان سوءاستفاده از آن قابلیت،
و اثبات استفاده واقعی از آن برای جاسوسی یا حمله.

گزارش‌های VulnCheck درباره قابلیت‌های فنی این مؤلفه‌هاست. پژوهشگران همچنین نمونه‌هایی از دستگاه‌هایی را که به زیرساخت‌های مورد بررسی آنها متصل شده‌اند، گزارش کرده‌اند.

اما از این یافته نمی‌توان نتیجه گرفت که تمام صاحبان روترهای مودم ZBTLink  قربانی حمله شده‌اند.

این تفاوت در یک گزارش امنیتی حرفه‌ای بسیار مهم است؛ چون تیترهایی مانند «تمام مودم ZBTLink جاسوسی می‌کنند» بسیار فراتر از چیزی است که شواهد فعلی ثابت می‌کند.

🏢 واکنش مودم ZBTLink به ادعاها چه بوده است؟

یکی از بخش‌های مهم این ماجرا، اختلاف دیدگاه میان پژوهشگران امنیتی و شرکت است.

در گزارش قبلی VulnCheck، شرکت ZBTlink قابلیت ENDLESSDOORS را ابزاری مرتبط با پشتیبانی فنی پس از فروش توصیف کرده بود و گفته بود استفاده از آن برای عیب‌یابی و پیکربندی با درخواست و مجوز مشتری انجام می‌شود.

اما پژوهشگران VulnCheck با این توضیح موافق نیستند و معتقدند طراحی فنی این مؤلفه‌ها با یک ابزار معمول پشتیبانی تفاوت دارد.

این اختلاف دیدگاه باید در مقاله حفظ شود. یک محتوای خبری معتبر نباید صرفاً نظر یک طرف را به‌عنوان حقیقت نهایی معرفی کند.

📡 آیا محصولات دارای برندهای دیگر هم باید بررسی شوند؟

بله، اما با یک شرط مهم: نباید هر محصولی که سخت‌افزار مشابه دارد، خودکار آسیب‌پذیر فرض شود.

VulnCheck در بررسی زنجیره تأمین ZBT نشان داده که پلتفرم‌های سخت‌افزاری این شرکت در محصولات مختلف و با نام‌های متفاوت ظاهر شده‌اند.

این مدل فروش در صنعت شبکه موضوع عجیبی نیست. تولیدکننده اصلی ممکن است سخت‌افزار را بسازد و شرکت دیگری آن را با فریمور سفارشی و نام تجاری خودش عرضه کند.

بنابراین برای بررسی یک دستگاه باید حداقل این موارد مشخص باشد:

• نام برند
• مدل دقیق
• نسخه فریمور
• سازنده سخت‌افزار
• نسخه نرم‌افزار
• وضعیت به‌روزرسانی

🛡️ اگر مودم ZBTLink داریم چه کار کنیم؟

اولین واکنش نباید وحشت یا قطع فوری اینترنت باشد.

کار درست، شناسایی دقیق دستگاه و نسخه نرم‌افزاری آن است.

مدل و فریمور را بررسی کنید

مدل دقیق را از برچسب دستگاه یا صفحه مدیریتی روتر پیدا کنید.

سپس نسخه فریمور را یادداشت کنید.

این اطلاعات را با هشدارهای امنیتی منتشرشده مقایسه کنید. مرکز امنیت سایبری کانادا نیز در advisory خود فهرستی از مدل‌ها و نسخه‌های فریمور مشخص را منتشر کرده است.

به‌روزرسانی رسمی را بررسی کنید

اگر برای مدل دستگاه شما فریمور رسمی و معتبر منتشر شده، وضعیت آن را بررسی کنید.

فایل فریمور را از منابع ناشناس دریافت نکنید. در موضوعات امنیتی، نصب یک فایل ناشناخته می‌تواند مشکل را حتی بدتر کند.

شبکه‌های حساس را جدی‌تر بگیرید

اگر روتر در خانه برای استفاده معمولی قرار دارد، موضوع با یک شبکه سازمانی حاوی اطلاعات حساس یکسان نیست.

در یک شرکت، مدرسه، دفتر یا محیطی که اطلاعات مهم روی شبکه جابه‌جا می‌شود، بهتر است بررسی امنیتی با جدیت بیشتری انجام شود.

در صورت وجود ریسک تأییدشده، جایگزینی را بررسی کنید

اگر مدل و فریمور دستگاه شما در فهرست آسیب‌پذیر قرار دارد و راهکار مطمئن و رسمی برای رفع مشکل وجود ندارد، بررسی گزینه جایگزین منطقی است.

هدف اصلی این است که ریسک را مدیریت کنیم، نه اینکه صرفاً به خاطر یک خبر، درباره تمام دستگاه‌ها تصمیم یکسان بگیریم.

📅 جدول زمانی اتفاقات ZBTLink

۵ اوت ۲۰۲۶؛ افشای ENDLESSDOORS

VulnCheck گزارش خود درباره ENDLESSDOORS را منتشر کرد و از وجود این مؤلفه در بیش از ۲۰ مدل روتر مودم ZBTLink خبر داد.

۵ اوت ۲۰۲۶؛ انتشار هشدار امنیتی

مرکز امنیت سایبری کانادا نیز همان روز advisory مربوط به محصولات و فریمورهای مشخص مودم ZBTLink را منتشر کرد.

اواخر اوت؛ بررسی گسترده‌تر

پژوهشگران VulnCheck در ادامه زنجیره تأمین و مدل‌های مختلف را بررسی کردند.

۲۷ اوت ۲۰۲۶؛ کشف دو مؤلفه دیگر

VulnCheck از شناسایی DARKLANTERN و SPEAKINGSTONE خبر داد و جزئیات بیشتری درباره رفتار آنها منتشر کرد.

همین روند نشان می‌دهد پرونده هنوز کاملاً بسته نشده و ممکن است اطلاعات جدیدی درباره مدل‌ها یا فریمورهای دیگر منتشر شود.

🌍 آیا این مشکل مودم ZBTLink فقط مربوط به چین است؟

نه.

اگر یک محصول با زنجیره تأمین بین‌المللی تولید و توزیع شود، مشکل امنیتی آن می‌تواند کاربران کشورهای مختلف را درگیر کند.

VulnCheck در بررسی‌های خود از مشاهده تجهیزات مرتبط در کشورهای مختلف خبر داده است. همچنین این شرکت تأکید کرده که برخی پلتفرم‌های ZBT تحت برندهای دیگری نیز عرضه شده‌اند.

بنابراین بهتر است موضوع را صرفاً با برچسب «مودم چینی» تحلیل نکنیم.

مسئله اصلی امنیت فریمور، کنترل دسترسی، به‌روزرسانی، رمزنگاری و شفافیت زنجیره تأمین است.

هر تولیدکننده‌ای که چنین اصولی را رعایت نکند، می‌تواند ریسک مشابهی ایجاد کند.

💰 چه عواملی روی هزینه تعویض یا ارتقای روتر تأثیر می‌گذارند؟

اگر کاربر پس از بررسی امنیتی تصمیم بگیرد روتر خود را تعویض کند، هزینه انتخاب دستگاه جدید به عوامل مختلفی بستگی دارد و نمی‌توان یک عدد ثابت برای آن تعیین کرد.

مهم‌ترین عوامل عبارت‌اند از:

• نسل Wi-Fi
• تعداد باندهای فرکانسی
• سرعت انتقال داده
• تعداد پورت‌های LAN و WAN
• پشتیبانی از Wi-Fi 6 یا نسل‌های جدیدتر
• ظرفیت پوشش‌دهی
• تعداد کاربران هم‌زمان
• قدرت پردازنده و مقدار حافظه
• قابلیت‌های امنیتی
• امکانات مدیریتی
• پشتیبانی از شبکه Mesh
• نوع آنتن و طراحی سخت‌افزار
• کیفیت فریمور
• مدت پشتیبانی نرم‌افزاری
• امکان دریافت به‌روزرسانی امنیتی
• کیفیت خدمات پس از فروش
• گارانتی
• نوع کاربرد؛ خانگی، اداری یا سازمانی

در واقع هنگام انتخاب جایگزین، نباید فقط به سرعت Wi-Fi نگاه کرد. مدت پشتیبانی امنیتی و سابقه به‌روزرسانی فریمور نیز باید بخشی از تصمیم‌گیری باشد.

🔐 چرا امنیت فریمور باید هنگام خرید روتر جدی گرفته شود؟

سال‌هاست هنگام خرید گوشی، لپ‌تاپ یا سیستم‌عامل به‌روزرسانی نرم‌افزاری اهمیت پیدا کرده است. روتر هم باید با همین نگاه بررسی شود.

یک روتر ممکن است از نظر سخت‌افزاری کاملاً مناسب باشد، اما اگر برای مدت طولانی فریمور آن به‌روزرسانی نشود، آسیب‌پذیری‌های جدید می‌توانند آن را به نقطه ضعف شبکه تبدیل کنند.

در پرونده مودم ZBTLink ، قدیمی بودن برخی فریمورها نیز یکی از نکاتی است که توجه پژوهشگران را جلب کرده است. VulnCheck برای برخی مدل‌های مورد بررسی نسخه‌هایی مربوط به سال‌های قبل را گزارش کرده است.

به همین دلیل هنگام خرید روتر بهتر است چند سؤال ساده پرسیده شود:

آخرین آپدیت امنیتی چه زمانی منتشر شده است؟

سازنده تا چه مدت فریمور را پشتیبانی می‌کند؟

آیا گزارش‌های امنیتی درباره محصولاتش را شفاف منتشر می‌کند؟

این سؤالات گاهی از چند مگابیت سرعت بیشتر مهم‌تر هستند.

❓ سوالات متداول درباره بک‌دور مودم ZBTLink

بک‌دور ZBTLink چیست؟

اصطلاح بک‌دور در این پرونده به مؤلفه‌هایی اشاره دارد که طبق یافته پژوهشگران، امکان ارتباط یا دسترسی از راه دور به برخی روترهای ZBT را فراهم می‌کنند.

ENDLESSDOORS چیست؟

ENDLESSDOORS نامی است که VulnCheck برای یکی از مؤلفه‌های شناسایی‌شده در برخی فریمورهای مودم ZBTLink  انتخاب کرده است. پژوهشگران آن را یک ایمپلنت ارتباطی از نوع Phone-home توصیف کرده‌اند.

DARKLANTERN چیست؟

DARKLANTERN نام مؤلفه دیگری است که VulnCheck در برخی فریمورهای ZBT شناسایی کرده و آن را با سرویس infosrvd مرتبط دانسته است. این مورد در قالب CVE-2026-74233 نیز ثبت شده است.

SPEAKINGSTONE چیست؟

SPEAKINGSTONE طبق گزارش VulnCheck یک مؤلفه ارتباطی دیگر است که از طریق ارتباط خروجی با زیرساخت مشخصی ارتباط برقرار می‌کند و قابلیت‌هایی مانند اجرای فرمان و تغییر تنظیمات شبکه برای آن گزارش شده است.

آیا تمام مودم‌های ZBTLink آلوده هستند؟

خیر. نمی‌توان چنین نتیجه‌ای گرفت. گزارش‌ها درباره مدل‌ها و نسخه‌های فریمور مشخصی هستند و باید دستگاه به‌صورت موردی بررسی شود.

آیا وجود بک‌دور یعنی کاربر حتماً هک شده است؟

خیر. وجود یک قابلیت آسیب‌پذیر یا دسترسی از راه دور با اثبات سوءاستفاده واقعی از آن تفاوت دارد.

آیا باید فوراً روتر ZBTLink را دور بیندازیم؟

نه لزوماً. ابتدا مدل و نسخه فریمور را بررسی کنید و ببینید آیا دستگاه در فهرست‌های امنیتی منتشرشده قرار دارد یا خیر.

آیا برندهای دیگری هم ممکن است تحت تأثیر قرار بگیرند؟

ممکن است محصولاتی با سخت‌افزار یا فریمور مرتبط با ZBT تحت برندهای دیگر عرضه شده باشند. با این حال، وجود سخت‌افزار مشترک به‌تنهایی برای آسیب‌پذیر دانستن یک محصول کافی نیست.

🧠 جمع‌بندی؛ یک هشدار جدی، اما بدون بزرگ‌نمایی مودم ZBTLink

ماجرای مودم ZBTLink  یکی از نمونه‌های قابل‌توجه سال ۲۰۲۶ درباره اهمیت امنیت فریمور تجهیزات شبکه است. آنچه ابتدا با گزارش ENDLESSDOORS آغاز شد، در ادامه با شناسایی DARKLANTERN و SPEAKINGSTONE ابعاد گسترده‌تری پیدا کرد.

مهم‌ترین نکته این است که نباید از این خبر به یک نتیجه افراطی رسید و گفت تمام مودم ZBTLink جاسوسی می‌کنند. در عین حال، نادیده گرفتن یافته‌های پژوهشگران هم منطقی نیست.

گزارش‌های منتشرشده نشان می‌دهند برخی نسخه‌های فریمور ZBT قابلیت‌هایی داشته‌اند که از نظر امنیتی بسیار جدی هستند. هشدار رسمی مرکز امنیت سایبری کانادا و ثبت موارد مشخص در پایگاه‌های امنیتی نیز اهمیت بررسی مدل و نسخه فریمور را بیشتر می‌کند.

برای کاربران، پیام اصلی ساده است: مدل روتر را بشناسید، فریمور را بررسی کنید، به‌روزرسانی‌های رسمی را جدی بگیرید و در شبکه‌های حساس، صرفاً به ظاهر یا برند دستگاه اعتماد نکنید.

در دنیایی که تقریباً تمام دستگاه‌های دیجیتال به اینترنت متصل هستند، امنیت روتر دیگر یک موضوع حاشیه‌ای نیست؛ روتر دروازه ورود و خروج شبکه است و کوچک‌ترین ضعف در آن می‌تواند اهمیت بسیار بیشتری از چیزی داشته باشد که روی ظاهر دستگاه دیده می‌شود.