Een ongepatchte kwetsbaarheid in Calix GS7 XGS (GS5239XG) residential routers, gebruikt door meerdere Amerikaanse breedbandproviders, stelt aanvallers in staat om zonder authenticatie port-forwarding regels aan te maken die interne netwerkapparaten blootstellen aan het publieke internet. De kwetsbaarheid, geregistreerd als CVE-2026-75501, betreft een ontbrekende authenticatie en treft apparaten met EXOS/6.6.47 firmware.

Beveiligingsonderzoeker Brian Khan Quintana ontdekte de kwetsbaarheid en probeerde de leverancier op 7 juni te waarschuwen, maar kreeg geen reactie. Vervolgens meldde hij de kwetsbaarheid aan het Carnegie Mellon CERT Coordination Center (CERT/CC). Na meerdere pogingen om contact te leggen met Calix zonder resultaat, coördineerde CERT/CC een publieke bekendmaking, waarna Quintana de technische details publiceerde. Calix is een belangrijke leverancier voor Amerikaanse breedbandproviders zoals Cox Communications, Brightspeed, ALLO, CityFibre en Conexon. Het getroffen model GS5239XG, ook bekend als GigaSpire 7u10txg, is een nieuw premium gateway-apparaat met Wi-Fi 7 en een geïntegreerde XGS-PON fiber terminal.

De kwetsbaarheid ontstaat doordat het apparaat de MiniUPnPd control endpoint op de WAN-interface blootstelt op TCP-poort 5000 zonder toegangscontrole. Zoals CERT/CC waarschuwt, bindt de router in de getroffen firmwareversies zijn UPnP WANIPConnection SOAP-service aan de publieke WAN-interface op TCP-poort 5000. Hierdoor kan een aanvaller vanaf het publieke internet ongeauthenticeerde SOAP-verzoeken sturen om poorttoewijzingen toe te voegen, te verwijderen of op te vragen, evenals het externe IP-adres te achterhalen.

Dit stelt kwaadwillenden in staat om de Network Address Translation (NAT) en firewall van de router te omzeilen en interne apparaten zoals beveiligingscamera's, NAS-systemen, beheerdersinterfaces en IoT-apparaten bloot te stellen. Volgens Quintana is één ongeauthenticeerd verzoek van waar dan ook ter wereld voldoende om een permanente opening in de firewall te creëren die ook na een herstart van de router actief blijft, zonder wachtwoord of melding.

De onderzoeker demonstreerde de kwetsbaarheid door vanaf een extern netwerk een port mapping aan te maken die een intern adres blootstelde. Deze mapping bleef actief, ook na het uitschakelen en opnieuw opstarten van de router. Dit betekent dat iedereen op internet kwetsbare Calix-routers kan instrueren om verkeer van een publieke poort door te sturen naar een gekozen apparaat binnen het thuisnetwerk.

Omdat er nog geen patch beschikbaar is voor CVE-2026-75501, raadt Quintana gebruikers aan om UPnP uit te schakelen via de beheerdersinterface (Advanced → Security → UPnP). Dit voorkomt automatische poortopeningen, wat nadelig kan zijn voor sommige games, maar handmatige poortopeningen blijven mogelijk. CERT/CC meldt dat deze instelling soms vergrendeld kan zijn; gebruikers die deze niet kunnen wijzigen, dienen contact op te nemen met hun internetprovider om UPnP te laten deactiveren.