CVE-2026-101260: Kritisk fejl i Ziroom ZHOME A0101
Ziroom ZHOME A0101 har en kritisk kommandoindsprøjtningsfejl (CVE-2026-101260) med offentligt tilgængelig angrebskode. Der findes ingen opdatering, isolér enheden fra netværket nu.
Hvad er det?
CVE-2026-101260 er en kommandoindsprøjtning, en fejltype hvor en angriber kan snige egne systemkommandoer ind i et program, der ikke tjekker sine input ordentligt. Fejlen sidder i filen /api/ZRnetwork/firstLogin i det kinesiske smart home-produkt Ziroom ZHOME A0101, version 1.0.1.0. Ved at manipulere parameteren firstLogin kan en angriber få enheden til at udføre vilkårlige kommandoer på styresystemniveau. Angrebet kan udføres over netværket, og kode der demonstrerer udnyttelsen er allerede offentliggjort. Producenten er blevet kontaktet om sårbarheden, men har ikke reageret, og der findes derfor ingen officiel opdatering.
Hvem rammer det?
Sårbarheden rammer specifikt Ziroom ZHOME A0101, version 1.0.1.0, en smart home-styreenhed fra den kinesiske udbyder Ziroom. Produktet er ikke udbredt i Danmark, men kan forekomme hos virksomheder inden for ejendomsadministration, udlejning eller facility management, der har installeret kinesisk smart home-udstyr i udlejningsboliger, kontorer eller fælleslokaler. Er I i tvivl om, hvorvidt I bruger denne enhed, bør I lave en hurtig gennemgang af netværksudstyr og IoT-enheder, særligt hvis de er installeret af en ekstern leverandør eller integratør.
Hvad kan ske?
En angriber, der allerede har fået fat i en konto med høje rettigheder på enheden, kan udnytte fejlen til at få fuld kontrol over den underliggende styreenhed. I praksis betyder det, at angriberen kan læse og ændre data, installere skadelig kode, eller bruge enheden som adgangspunkt til resten af det interne netværk, for eksempel til overvågningssystemer, adgangskontrol eller andre bygningsstyringssystemer, der er koblet på samme netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket (AV:N) og kræver ikke, at nogen bruger klikker på noget (UI:N), men det kræver, at angriberen allerede har høj-privilegeret adgang til enheden (PR:H). Denne forudsætning gør angrebet mindre trivielt end en helt uautentificeret fejl, men fordi kompleksiteten ellers er lav og konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, vurderes risikoen fortsat høj. Der er ikke rapporteret aktiv udnyttelse i naturen, men angrebskode er offentligt tilgængelig, hvilket typisk gør det et spørgsmål om tid.
Hvad gør jeg nu?
Der findes ingen opdatering fra producenten, så indsatsen handler om at begrænse eksponeringen mest muligt.
- Fjern eller isolér enheden fra internetvendte netværk, og placér den i et separat netværkssegment uden adgang til øvrige systemer.
- Lav en oversigt over, om og hvor Ziroom ZHOME A0101 er installeret hos jer, herunder hos eksterne leverandører der styrer smart home-installationer på jeres vegne.
- Skift adgangskoder og gennemgå alle konti med høj privilegering, der har adgang til enheden, da angrebet forudsætter en sådan konto.
- Overvåg netværkstrafik og logfiler fra enheden for usædvanlig aktivitet, herunder uventede systemkommandoer eller nye brugerkonti.
- Kontakt leverandøren eller importøren af enheden for at afklare, om der kommer en opdatering, eller om enheden bør udskiftes.
- Søg ekstern hjælp, hvis I ikke selv kan segmentere netværket eller vurdere, hvor udbredt eksponeringen er i jeres miljø.
Ingen opdatering findes, isolér nu
Vi anbefaler, at I straks tager enheden ud af netværk, den ikke skal have adgang til, da der ikke findes en opdatering at læne sig op ad. Da fejlen kræver en høj-privilegeret konto for at kunne udnyttes, er det ikke akut kritisk, hvis jeres adgangsstyring i forvejen er stram, men det er ikke forsvarligt at vente længere end til førstkommende arbejdsdag med at gennemgå adgange og netværksplacering. Har I ikke kendskab til produktet i jeres miljø, kan I roligt lade dette punkt vente til den løbende sikkerhedsgennemgang.
Tidslinje
Konkrete eksempler
Ejendomsselskab med smart home-udstyr i udlejningsboliger
Et dansk ejendomsselskab har installeret Ziroom ZHOME-enheder i en række udlejningslejligheder for at styre adgang og opvarmning. En tidligere ansat eller en ekstern samarbejdspartner, der har fået en administratorkonto på systemet, udnytter fejlen til at få fuld kontrol over enheden og bruger den som springbræt til at tilgå selskabets øvrige netværk, herunder booking- og betalingssystemer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Kun hvis I bruger Ziroom ZHOME A0101, version 1.0.1.0. Produktet er en kinesisk smart home-styreenhed og er mest sandsynligt at finde hos ejendomsselskaber, udlejere eller virksomheder med kinesisk-leveret IoT-udstyr.
Hvordan tjekker vi, om vi har enheden i vores netværk?
Gennemgå jeres netværksinventar og IoT-enheder, og spørg eventuelle eksterne leverandører af smart building- eller adgangssystemer, om de anvender Ziroom-produkter. Enheden kan identificeres via administrationsgrænsefladen eller ved at søge efter modelnavnet i netværksscanninger.
Kan vi vente til weekenden med at gøre noget?
Fejlen kræver en høj-privilegeret konto for at blive udnyttet, så den er ikke lige så kritisk som en fuldt uautentificeret sårbarhed. Har I styr på jeres adgangsstyring, kan I vente til førstkommende arbejdsdag, men enheden bør isoleres fra internettet så hurtigt som muligt.
Kommer der en opdatering fra Ziroom?
Producenten er blevet kontaktet, men har ikke reageret på henvendelsen om sårbarheden. Der er derfor ingen kendt tidsplan for en officiel rettelse.
Skal vi anmelde hændelsen til myndighederne?
Det er kun relevant, hvis I konstaterer faktisk misbrug og persondata eller kritiske systemer er berørt. Er I i tvivl, bør I kontakte en sikkerhedsrådgiver for at vurdere, om hændelsen udløser anmeldelsespligt efter databeskyttelsesreglerne.
Hvad betyder det, at angrebet kræver høj privilegering?
Det betyder, at angriberen skal have fået fat i en konto med udvidede rettigheder på enheden i forvejen, for eksempel gennem en anden svaghed eller stjålne loginoplysninger. Det gør angrebet mindre trivielt, men ikke usandsynligt, hvis I genbruger adgangskoder eller har svage adgangskontroller.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in Ziroom ZHOME A0101 1.0.1.0. Affected by this issue is some unknown functionality of the file /api/ZRnetwork/firstLogin. Performing a manipulation of the argument firstLogin results in command injection. The attack is possible to be carried out remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.