# D-Link : des failles sans correctif sur le commutateur DGS-3130-30TS

> L’avis SAP10523 du 6 novembre 2026 ne donne ni CVE public ni date de micrologiciel. Désactiver DDP ne ferme pas les autres sujets.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/d-link-dgs-3130-30ts-ddp-sans-correctif-sap10523
- Auteur : Kelvyn
- Publié le : 7 novembre 2026 (2026-11-07T04:44:43.733Z)
- Rubrique : Cybersécurité
- Sujets : D-Link, DGS-3130, SNMP, Commutateur
- Langue : français

Le 6 novembre 2026 à 12 h 16 GMT, D-Link a publié l’avis provisoire SAP10523 : plusieurs failles du commutateur DGS-3130-30TS, révision matérielle B1, n’ont pas encore de micrologiciel correctif, et l’éditeur ne donne pas de date de sortie.

Le chercheur Giresh Kumar Enugu, ingénieur réseau chez Spectrum Community Solutions, a transmis le dossier le 2 novembre dans le cadre d’une divulgation coordonnée. Il a reproduit plusieurs conditions sur le matériel testé. D-Link écrit que les numéros CVE, réservés ou demandés, ne sont pas encore publics. Le statut de l’avis est « Partial », mis à jour le même jour à 12 h 30 GMT.

## À retenir

- Produit confirmé dans les essais : DGS-3130-30TS révision B1, micrologiciels examinés 2.00.B014, 2.00.B034, 2.04.000 et 2.04.001. Les autres modèles DGS-3130 et les autres gammes sont « under investigation », pas déclarés vulnérables.
- Un attaquant déjà présent sur le réseau affecté peut, selon le chercheur, lire des informations d’appareil, changer des identifiants, modifier la configuration, ou provoquer une coupure et une remise à zéro.
- Parade immédiate documentée par D-Link : désactiver le protocole DDP, globalement et sur les interfaces. D-Link dit encore vérifier cette parade, et rappelle qu’elle ne corrige pas les autres sujets du micrologiciel.
- Aucun correctif n’est annoncé. Les mesures provisoires restent en place jusqu’à un avis révisé.

## Deux familles de problèmes, un seul avis

L’[avis SAP10523](https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10523) sépare les constats. Le premier bloc porte sur le D-Link Discovery Protocol : authentification, contrôle d’accès et traitement des informations. Les impacts possibles listés par D-Link sont l’usage non autorisé de fonctions d’administration DDP, la divulgation d’informations de configuration, le changement d’identifiants administrateur, les redémarrages, les coupures de service, la perte de configuration, et l’exposition de communautés SNMP qui faciliterait une autre prise en main.

Le second bloc porte sur le micrologiciel : configuration de sécurité du service SSH, protection des identifiants du système d’exploitation, chiffrement du micrologiciel et matériel cryptographique qui y est embarqué. D-Link examine ces points à part, parce que couper DDP ne les corrige pas. L’éditeur ne dit pas encore lesquels sont confirmés, ni sur quelles versions exactes chaque constat s’applique. Les quatre micrologiciels cités ont été examinés ; un constat peut ne concerner qu’une partie d’entre eux.

L’attaque décrite suppose un accès au réseau sur lequel se trouve le commutateur. L’avis ne la présente pas comme une exploitation depuis Internet sans cette présence. Il déconseille toutefois d’exposer l’administration au réseau public, et il prévient de ne pas compter seulement sur les contrôles d’accès de l’appareil ou sur la séparation des VLAN pour les problèmes DDP.

## Que faire tant qu’il n’y a pas de micrologiciel

D-Link demande aux exploitants du DGS-3130-30TS d’appliquer les mesures sans attendre. La priorité est de désactiver DDP en configuration globale et sur les interfaces concernées. L’avis documente la commande **no ddp**, puis une vérification par les commandes d’affichage DDP, puis l’enregistrement de la configuration pour qu’elle survive à un redémarrage. Le chercheur a indiqué que cette double désactivation empêchait le traitement des vecteurs DDP qu’il avait testés. D-Link écrit qu’il revérifie cette parade de son côté, et qu’elle peut casser la découverte ou l’administration qui dépendent du protocole.

Ensuite, retirer les communautés SNMP inutiles ou laissées par défaut, en particulier celles nommées public et private, et passer à SNMPv3 avec authentification et confidentialité là où c’est possible, en limitant SNMP à des hôtes autorisés. Retirer ces communautés ne ferme pas, à lui seul, la divulgation via DDP.

Limiter SSH, l’interface web et SNMP à des postes d’administration désignés. Couper les services de gestion inutiles. Garder une sauvegarde de configuration hors ligne. Surveiller les redémarrages inattendus, les changements de configuration, les interfaces qui s’éteignent et les remises en configuration d’usine.

Avant toute future mise à jour, l’avis rappelle de lire la révision matérielle sur l’étiquette : un micrologiciel prévu pour une révision n’est pas interchangeable. Tant que D-Link n’aura pas désigné une version comme corrective, une mise à jour déjà disponible ne doit pas être tenue pour un correctif. Le même genre d’écart, entre un avis et un correctif incomplet, a déjà concerné d’autres commutateurs, comme le [Zyxel GS1900 et CVE-2026-107441](https://klynlabs.eu/articles/zyxel-gs1900-cve-2026-107441-correctif-juin).

## Sources

- [Avis D-Link SAP10523](https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10523), publié le 6 novembre 2026 à 12 h 16 GMT, lu le 7 novembre.
- [Article de BleepingComputer du 6 novembre 2026](https://www.bleepingcomputer.com/news/security/d-link-warns-of-multiple-zero-days-in-dgs-3130-series-switches/).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/d-link-dgs-3130-30ts-ddp-sans-correctif-sap10523