Ursache der Schwachstelle ist laut CERT/CC, dass das Gerät den Steuerungs-Endpunkt von MiniUPnPd auf der WAN-Schnittstelle über TCP-Port 5000 ohne jede Zugriffskontrolle bereitstellt. „In den betroffenen Firmware-Versionen bindet der Router seinen UPnP-WANIPConnection-SOAP-Dienst an die öffentliche WAN-Schnittstelle auf TCP-Port 5000“, warnt das Koordinierungszentrum.
Damit kann ein Angreifer aus dem offenen Internet unauthentifizierte SOAP-Anfragen senden, um Port-Mappings anzulegen, zu löschen oder aufzulisten – oder die externe IP-Adresse abzufragen. Auf diesem Weg lassen sich die NAT- und Firewall-Schutzmechanismen des Routers aushebeln und interne Kameras, Netzwerkspeicher (NAS), Verwaltungsoberflächen sowie IoT-Geräte nach außen exponieren.
„Eine einzige unauthentifizierte Anfrage von irgendwo auf der Welt reicht aus, um ein dauerhaftes Loch durch die Firewall des Routers zu jedem Gerät im Haus zu öffnen. Kein Passwort. Keine Rückfrage. Nichts auf dem Bildschirm. Die Regel überlebt einen Neustart“, erklärt Quintana.
Der Forscher hat seinen Fund praktisch überprüft: Von außerhalb seines Heimnetzes sandte er Anfragen, die ein Port-Mapping anlegten und eine interne Adresse exponierten. Ein Mapping, das ohne Ablaufzeit konfiguriert war, blieb auch nach dem Aus- und Wiedereinschalten des Routers aktiv. In der Konsequenz kann jeder im Internet verwundbare Calix-Router anweisen, Datenverkehr von einem öffentlich erreichbaren Port an ein beliebiges Gerät im Heimnetz weiterzuleiten.
Da für CVE-2026-75501 kein Fix vorliegt, empfiehlt Quintana Besitzern der betroffenen Geräte, UPnP über die Administrationsoberfläche zu deaktivieren – zu finden unter Advanced → Security → UPnP. Er weist darauf hin, dass damit auch das automatische Öffnen von Ports entfällt, auf das manche Spiele angewiesen sind; einzelne Ports lassen sich jedoch weiterhin manuell freigeben.
CERT/CC ergänzt, dass die Einstellung in manchen Fällen gesperrt sein kann. Wer sie nicht selbst ändern kann, soll sich an seinen Internetanbieter wenden und die Abschaltung anfordern.
BleepingComputer hat Calix zu der Schwachstelle, zu den betroffenen Gerätemodellen und zu einem möglichen Patch angefragt, bis zur Veröffentlichung aber keine Rückmeldung erhalten.