CVE-2026-101076: Kritisk fejl i Netcore NR289-GE-router
Netcore NR289-GE-routere har en kritisk sårbarhed (CVSS 10) uden login. Exploit er offentliggjort, og der findes ingen opdatering.
Hvad er det?
Sårbarheden findes i funktionen system i filen /set_ntp_server_ip.cgi på Netcore NR289-GE version 1.4.5102. Parameteren ntp_ip, som normalt skal indeholde en IP-adresse til en tidsserver, bliver sendt direkte videre til routerens styresystem uden kontrol. Det kaldes kommandoinjektion: en angriber kan skrive egne kommandoer ind i feltet og få routeren til at udføre dem med fulde rettigheder. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres over netværket. En færdig metode til at udnytte fejlen er allerede offentliggjort, og producenten har ikke reageret på henvendelser om problemet.
Hvem rammer det?
Alle virksomheder og institutioner, der bruger en Netcore NR289-GE-router med firmwareversion 1.4.5102, er ramt. Det gælder især mindre kontorer, filialer og produktionssteder, hvor denne type budgetudstyr ofte bruges til internetopkobling eller lokalt netværk. Er routerens administrationsside eller CGI-grænseflade tilgængelig fra internettet, er risikoen særligt høj.
Hvad kan ske?
En angriber kan overtage routeren fuldstændigt og køre vilkårlige kommandoer på den. Herfra kan angriberen aflytte al trafik, omdirigere brugere til falske hjemmesider, hente adgangskoder og bruge routeren som indgang til resten af virksomhedens netværk. For en dansk SMV betyder det i praksis, at en enkelt sårbar router kan blive startpunktet for et større angreb, herunder ransomware, hvis routeren står mellem internettet og interne systemer.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskode, ingen brugerinteraktion og kan udføres over netværket med lav teknisk kompleksitet. En metode til at udnytte fejlen er offentligt tilgængelig, hvilket gør det sandsynligt, at den bliver brugt aktivt, selv om der endnu ikke er bekræftede angreb i det fri.
Hvad gør jeg nu?
Der findes ingen officiel opdatering, så I skal handle på anden vis for at lukke hullet.
- Fjern routerens administrationsside og CGI-grænseflade fra internettet med det samme, så den kun kan tilgås fra jeres interne netværk.
- Undersøg om routeren overhovedet skal have adgang til internettet for administration, og luk den adgang permanent hvis ikke.
- Placér routeren bag en firewall eller på et separat netværk, adskilt fra kritiske systemer.
- Gennemgå routerens logfiler for usædvanlig trafik eller ukendte kommandoer siden offentliggørelsen den 28. september 2026.
- Planlæg udskiftning af routeren til en model, hvor producenten leverer sikkerhedsopdateringer, da Netcore ikke har reageret på henvendelser om fejlen.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om routeren har været udsat, eller hvis I mangler ressourcer til at gennemføre punkterne ovenfor.
Luk adgangen udefra i dag
Vi anbefaler, at I straks fjerner routerens administrationsgrænseflade fra internettet og planlægger udskiftning af enheden, da producenten ikke leverer en rettelse. Det er ikke forsvarligt at vente, hvis routeren i dag er tilgængelig udefra, fordi en færdig angrebsmetode allerede er offentlig. Er routeren udelukkende tilgængelig fra et lukket internt netværk uden adgang udefra, kan I vente med udskiftning til jeres næste planlagte hardwareindkøb, men bør stadig overvåge den tættere end normalt.
Tidslinje
Konkrete eksempler
Filialkontor med eksponeret router
En dansk SMV med flere filialer bruger en Netcore NR289-GE-router på et af sine mindre kontorer til at give internetadgang til det lokale netværk. Administrationssiden er ved en fejl tilgængelig fra internettet, fordi den blev sat op til fjernsupport for flere år siden og aldrig lukket igen. En angriber finder enheden via en simpel scanning af internettet, udnytter kommandoinjektionen i ntp_ip-feltet og får fuld kontrol over routeren. Herfra aflytter angriberen trafikken fra kontoret og bruger adgangen til at forsøge sig videre ind i virksomhedens centrale systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Tjek routerens administrationsside for modelnavn og firmwareversion. Er modellen Netcore NR289-GE med version 1.4.5102, er den berørt. Er I i tvivl, kan I kontakte os eller en it-leverandør for hjælp til at identificere udstyret.
Kan vi vente til efter weekenden med at gøre noget?
Ikke hvis routerens administrationsside er tilgængelig fra internettet. En metode til at udnytte fejlen er allerede offentlig, så eksponerede enheder bør lukkes af udefra med det samme, uanset ugedag.
Kommer der en opdatering fra Netcore?
Det er ikke kendt. Producenten er blevet kontaktet om sårbarheden, men har ikke svaret. Vi anbefaler derfor ikke at afvente en officiel rettelse, men i stedet lukke adgangen og planlægge udskiftning.
Er vi allerede blevet angrebet?
Det kan I ikke se uden at gennemgå routerens logfiler for usædvanlige kommandoer eller trafik, især kommandoer sendt til /set_ntp_server_ip.cgi. Mangler I logdata eller erfaring med at læse dem, anbefaler vi at få en sikkerhedsrådgiver til at gennemgå det.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at routeren er blevet udnyttet, og at personoplysninger eller andre systemer kan være kompromitteret. Find I sådanne tegn, bør I vurdere anmeldepligt efter databeskyttelsesreglerne og kontakte en rådgiver.
Kan vi bare skifte adgangskoden på routeren i stedet?
Nej. Sårbarheden kræver ikke login overhovedet, så en ny adgangskode ændrer ikke risikoen. Den eneste effektive løsning lige nu er at fjerne ekstern adgang til enheden og på sigt udskifte den.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in Netcore NR289-GE 1.4.5102. This affects the function system of the file /set_ntp_server_ip.cgi of the component CGI Handler. The manipulation of the argument ntp_ip results in os command injection. The attack can be executed remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.