Tim dari Openwall menemukan kerentanan authentication-bypass GNU Telnetd pada tanggal 20 Januari 2026. Kerentanan tersebut masuk dalam kategori Critical pada standar CVSS dengan skor 9.8. Dampaknya attacker yang memanfaatkan kerentanan ini bisa mendapatkan akses root tanpa autentikasi.

Celah ini terjadi karena telnetd meneruskan USER environment variable yang dikontrol user langsung ke login(1) tanpa proses sanitasi. Dengan mengatur USER ke -f root dan terhubung menggunakan perintah telnet -a, attacker bisa melewati proses autentikasi dan langsung mendapatkan akses root.

GNU InetUtils versi 1.9.3 (rilis tahun 2015) sampai 2.7.

1. 1. Bila memungkinkan tidak menggunakan telnet dan menggantinya dengan protokol SSH.
2. Apabila tidak memungkinkan mematikan service telnet, upgrade ke versi 2.8 dan lakukan pembatasan/allowlist akses secara ketat (misal menggunakan vpn) dan tidak mengeksposenya di public.
3. Terapkan network defense, bisa menggunakan rule Suricata/Snort untuk mendeteksi CVE-2026-24061. Rule selengkapnya pada referensi nomer 2.