CVE-2026-102240: Kritisk fejl i Netcore NAP930-router
Kritisk fejl i Netcore NAP930-routere lader angribere køre kommandoer på enheden uden login. Der findes ingen opdatering.
Hvad er det?
Der er fundet en sårbarhed i Netcore NAP930 version 0.1.241010.141410 (CVE-2026-102240). Fejlen sidder i funktionen eval i filen /www/cgi-bin/network_tools, som er en del af enhedens netværksværktøjer i det webbaserede administrationsmodul. Ved at manipulere parameteren sid kan en angriber få enheden til at udføre vilkårlige styresystemkommandoer, det kaldes command injection. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres over netværket. En fungerende metode til at udnytte fejlen er allerede offentliggjort.
Hvem rammer det?
Sårbarheden rammer Netcore NAP930-routere med firmwareversion 0.1.241010.141410. Det drejer sig typisk om trådløse routere eller adgangspunkter, der bruges i mindre kontorer, filialer eller som del af et gæstenetværk. Er enhedens administrationsgrænseflade tilgængelig fra internettet eller fra et internt netværk, som mange medarbejdere eller gæster har adgang til, er risikoen størst.
Hvad kan ske?
En angriber, der udnytter fejlen, kan køre kommandoer på routeren med fuld kontrol over enheden. I praksis betyder det, at angriberen kan læse og ændre netværkstrafik, oprette en fast adgang til virksomhedens netværk, bruge routeren som springbræt videre ind mod servere og arbejdsstationer, eller sætte enheden helt ud af drift. For en dansk virksomhed kan det føre til aflytning af interne data, spredning af skadelig software eller nedbrud af internetforbindelsen.
Hvor alvorligt er det?
Sårbarheden har den højeste CVSS-score, 10,0 ud af 10, og er vurderet kritisk. Den kan udnyttes fra netværket uden login og uden at en bruger skal foretage sig noget. Angrebet er ikke teknisk krævende, og en metode til udnyttelse er allerede offentligt tilgængelig. Der er ikke rapporteret om aktiv udnyttelse i angreb endnu, men fordi koden er offentlig, kan det ændre sig hurtigt.
Hvad gør jeg nu?
Producenten er kontaktet, men har ikke svaret, og der findes ingen opdatering. I skal derfor begrænse adgangen til enheden, indtil den kan udskiftes.
- Sørg for, at routerens administrationsgrænseflade ikke er tilgængelig fra internettet, og afgræns adgangen til et lukket administrationsnetværk.
- Deaktivér fjernadministration og webgrænsefladen for network_tools-funktionen, hvis den ikke er nødvendig.
- Undersøg om enheden i dag er eksponeret på internettet, for eksempel via en portscanning eller søgning i Shodan.
- Segmentér netværket, så en kompromitteret router ikke giver direkte adgang til servere og medarbejderes maskiner.
- Planlæg udskiftning af enheden til et produkt, hvor producenten aktivt understøtter sikkerhedsopdateringer.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I er i tvivl om, hvordan enheden er eksponeret, eller hvis I mistænker, at den allerede er kompromitteret.
Isolér enheden fra internettet i dag
Vi anbefaler, at I straks fjerner routerens administrationsgrænseflade fra internettet og segmenterer den fra det interne netværk, da der ikke findes en opdatering, og producenten ikke har reageret. Det er ikke forsvarligt at vente, fordi en metode til udnyttelse allerede er offentlig, og angrebet kan udføres uden login. På sigt bør enheden udskiftes med et produkt, hvor sikkerhedsopdateringer leveres løbende.
Tidslinje
Konkrete eksempler
Router eksponeret på internettet hos mindre virksomhed
En dansk virksomhed med 20 medarbejdere bruger en Netcore NAP930 som gæstenetværk-router med fjernadministration slået til. En angriber finder enheden via en almindelig internetscanning og udnytter sårbarheden til at få adgang til enheden. Herfra får angriberen fodfæste i netværket og kan aflytte trafik fra både gæster og interne systemer, der deler samme netværk.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger den ramte enhed?
Tjek modelbetegnelsen og firmwareversionen i routerens administrationsside eller på en mærkat på enheden. Er der tale om Netcore NAP930 med firmware 0.1.241010.141410, er I ramt.
Kan vi vente med at gøre noget til weekenden?
Nej. Fordi metoden til at udnytte fejlen allerede er offentlig, og angrebet ikke kræver login, bør adgangen til enheden begrænses samme dag som I opdager, at I bruger den.
Findes der en opdatering, vi kan installere?
Nej, producenten har ikke svaret på henvendelser om sårbarheden, og der er ikke udsendt en rettelse. Den eneste løsning lige nu er at begrænse adgangen til enheden eller udskifte den.
Kan vi bare lukke porten i firewallen og fortsætte med at bruge routeren?
Det reducerer risikoen betydeligt, hvis administrationsgrænsefladen ikke længere er tilgængelig udefra eller fra et bredt internt netværk. Det er dog en midlertidig løsning, og I bør på sigt udskifte enheden, da producenten ikke understøtter den med sikkerhedsopdateringer.
Skal vi anmelde noget, hvis vi opdager, at enheden er kompromitteret?
Er der sket et sikkerhedsbrud med adgang til persondata eller følsomme oplysninger, kan I være forpligtet til at anmelde det til Datatilsynet inden for 72 timer. Er I i tvivl, bør I kontakte en sikkerhedsrådgiver eller juridisk rådgiver hurtigt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in Netcore NAP930 0.1.241010.141410. This affects the function eval of the file /www/cgi-bin/network_tools of the component Network Tools CGI. The manipulation of the argument sid results in os command injection. The attack may be performed from remote. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.