CVE-2026-101072: Kritisk fejl i Netcore NR289-GE router
Kritisk sikkerhedshul i Netcore NR289-GE routere giver fuld kontrol uden login. Ingen opdatering findes, isolér enheden nu.
Hvad er det?
Der er fundet en kritisk sårbarhed i Netcore NR289-GE routeren (CVE-2026-101072). Fejlen findes i funktionen system i filen /ap_ip.cgi, en del af routerens CGI-håndtering, det vil sige den del af softwaren der behandler webbaserede kommandoer. Ved at manipulere parameteren ip kan en angriber få routeren til at udføre vilkårlige styresystemkommandoer, en teknik der kaldes command injection. Angrebet kræver hverken login eller brugerhandling og kan udføres over netværket, også fra internettet hvis enheden er tilgængelig udefra. Der findes offentligt tilgængelig kode, der kan udnytte sårbarheden, og leverandøren har ikke svaret på henvendelser om fejlen.
Hvem rammer det?
Sårbarheden rammer Netcore NR289-GE routere med firmwareversion 1.4.5102. Modellen bruges typisk som trådløst adgangspunkt eller router i mindre kontorer, butikker og hjemmekontorer. Er enheden tilgængelig fra internettet, for eksempel via fjernadministration eller port-forwarding, kan den angribes direkte udefra. Danske virksomheder, der bruger denne router til gæstenetværk eller som del af deres netværksinfrastruktur, bør tjekke om de er berørt.
Hvad kan ske?
En angriber, der udnytter sårbarheden, kan køre vilkårlige kommandoer på routeren med fulde rettigheder. Det giver i praksis fuld kontrol over enheden: angriberen kan aflytte og omdirigere netværkstrafik, skaffe sig adgang til det interne netværk bag routeren og bruge enheden som springbræn til andre systemer i virksomheden. For en dansk virksomhed kan det ende med tyveri af data, installation af skadelig software eller adgang til øvrige systemer på kontoret.
Hvor alvorligt er det?
Sårbarheden har den højeste CVSS-score, 10 ud af 10. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Der findes offentligt tilgængelig udnyttelseskode, så et angreb kræver ikke avanceret specialviden. Det er ikke bekræftet, at sårbarheden aktivt udnyttes i angreb, men risikoen er høj, fordi koden er offentligt tilgængelig.
Hvad gør jeg nu?
Da leverandøren ikke har udsendt en opdatering, er den vigtigste handling at begrænse adgangen til enheden.
- Fjern routerens administrationsgrænseflade fra internettet, og sluk fjernadministration og port-forwarding til enheden.
- Isolér enheden på et separat netværkssegment, så et angreb ikke kan sprede sig til resten af netværket.
- Undersøg om jeres NR289-GE kører firmwareversion 1.4.5102, og notér enhedens placering og funktion.
- Overvej at udskifte routeren med en model fra en leverandør, der aktivt vedligeholder sikkerhedsopdateringer.
- Følg leverandørens hjemmeside for en eventuel fremtidig opdatering.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere netværkets eksponering eller gennemføre isolering af enheden.
Isolér enheden i dag
Vi anbefaler, at I straks fjerner enhedens administrationsgrænseflade fra internettet og isolerer den fra resten af netværket, da der ikke findes en opdatering fra leverandøren. Er routeren kritisk for driften, bør I planlægge udskiftning til en model med aktiv sikkerhedsunderstøttelse. Det er ikke forsvarligt at vente, da udnyttelseskoden er offentligt tilgængelig, og angrebet kræver hverken login eller brugerhandling.
Tidslinje
Konkrete eksempler
Gæstenetværk i mindre kontor
En mindre dansk virksomhed bruger en Netcore NR289-GE som adgangspunkt for gæstenetværket i receptionen. Fordi routerens administrationsside er tilgængelig udefra til fjernsupport, kan en angriber udnytte sårbarheden til at overtage enheden og derfra få adgang til virksomhedens interne netværk, uden at nogen medarbejder har klikket på noget eller logget forkert ind.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-101072?
I er ramt, hvis I bruger en Netcore NR289-GE router med firmwareversion 1.4.5102. Tjek enhedens administrationsside eller kontakt jeres it-leverandør for at bekræfte modelnummer og version.
Hvordan tjekker vi, om routeren er sårbar?
Log ind på routerens administrationsside og se firmwareversionen under systeminformation. Kontrollér samtidig, om enheden er tilgængelig fra internettet via fjernadministration eller port-forwarding, hvilket øger risikoen betydeligt.
Findes der en opdatering, der løser problemet?
Nej. Leverandøren Netcore er blevet kontaktet, men har ikke svaret eller udsendt en rettelse. Indtil videre er isolering af enheden den eneste tilgængelige beskyttelse.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver hverken login eller brugerhandling, og der findes offentligt tilgængelig kode til at udnytte sårbarheden. Vi anbefaler at begrænse enhedens netværksadgang samme dag, sårbarheden opdages.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis et angreb medfører brud på persondata, skal I vurdere anmeldelse til Datatilsynet efter databeskyttelsesforordningen. Konstateres uautoriseret adgang, bør I også overveje at underrette relevante samarbejdspartnere og eventuelt politiet.
Skal vi udskifte routeren permanent?
Da leverandøren ikke har reageret på henvendelsen om sårbarheden, anbefaler vi på sigt at udskifte enheden med en model fra en leverandør, der løbende udsender sikkerhedsopdateringer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was identified in Netcore NR289-GE 1.4.5102. This issue affects the function system of the file /ap_ip.cgi of the component CGI Handler. Such manipulation of the argument ip leads to os command injection. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.