CVE-2026-15511: Kritisk fejl i Comfast CF-WR631AX-router
Kritisk fejl i Comfast CF-WR631AX-routere lader angribere overtage enheden uden login. Isolér administrationen fra internettet nu.
Hvad er det?
CVE-2026-15511 er en sårbarhed i Comfast CF-WR631AX V3-routere med firmware til og med version 2.7.0.8. Fejlen findes i funktionen system_wl_upload_pic_file i routerens bagvedliggende webadministration (en FastCGI-backend), som håndterer filnavne forkert. En angriber kan indsætte systemkommandoer i et filnavn, som routeren derefter afvikler direkte på styresystemet. Denne teknik kaldes kommandoinjektion (OS command injection). Angrebet kræver hverken login eller handling fra en bruger og kan udføres over netværket.
Hvem rammer det?
Sårbarheden rammer Comfast CF-WR631AX V3, en trådløs router der ofte bruges i mindre kontorer, butikker og hjemmekontorer. Alle firmwareversioner til og med 2.7.0.8 er berørt. Da leverandøren ikke har reageret på henvendelser om sårbarheden, findes der pr. offentliggørelsesdatoen ingen opdatering, der lukker hullet.
Hvad kan ske?
En angriber, der kan nå routerens administrationsgrænseflade via internettet eller det lokale netværk, kan afvikle vilkårlige kommandoer med routerens rettigheder. I praksis betyder det fuld overtagelse af enheden: angriberen kan aflæse og omdirigere netværkstrafik, oprette en bagdør til det interne netværk eller bruge routeren som springbræt til andre systemer i virksomheden.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen adgangskode og ingen handling fra en medarbejder. Det kan udføres over netværket med lav teknisk kompleksitet. Et konkret angrebseksempel er offentliggjort, så angribere kan udnytte sårbarheden uden selv at finde fejlen. Der er pr. offentliggørelsesdatoen ikke rapporteret om aktiv udnyttelse i angreb, men risikoen er høj, fordi koden allerede er tilgængelig.
Hvad gør jeg nu?
Da der ikke findes en opdatering fra leverandøren, handler det først om at afskærme enheden.
- Undersøg om I har en Comfast CF-WR631AX V3 i drift, og tjek firmwareversionen i administrationsgrænsefladen.
- Slå fjernadministration og WAN-adgang til routeren fra, så administrationsgrænsefladen kun kan tilgås fra det interne, tillidsfulde netværk.
- Planlæg udskiftning af routeren med en enhed fra en leverandør, der løbende udsender sikkerhedsopdateringer.
- Overvåg netværkstrafik fra routeren for usædvanlig aktivitet, indtil den er isoleret eller udskiftet.
- Hent hjælp udefra, hvis I ikke selv kan vurdere netværkets eksponering, eller hvis routeren indgår i kritisk infrastruktur.
Isolér routeren inden for 48 timer
Vi anbefaler, at I straks fjerner administrationsadgangen til routeren fra internettet, da der ikke findes en opdatering fra leverandøren. På længere sigt bør enheden udskiftes, da en leverandør, der ikke reagerer på sikkerhedshenvendelser, sjældent løser fremtidige sårbarheder. Det er kun forsvarligt at vente, hvis routeren allerede er fuldt isoleret fra internettet og kun tilgængelig fra et betroet, internt netværk.
Tidslinje
Konkrete eksempler
Router eksponeret via fjernadministration
En mindre dansk virksomhed har aktiveret fjernadgang til sin Comfast-router for at kunne administrere netværket hjemmefra. En angriber finder enheden ved at scanne internettet for åbne administrationsporte, sender en manipuleret filoverførsel og opnår fuld kontrol over routeren. Herfra aflytter angriberen trafikken og får adgang til virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-15511?
I er ramt, hvis I anvender Comfast CF-WR631AX V3 med firmware til og med version 2.7.0.8. Tjek modelnavn og firmwareversion i routerens administrationsside.
Hvordan tjekker vi, om routeren er sårbar?
Log ind på routerens webadministration og se firmwareversionen under systemoplysninger. Er versionen 2.7.0.8 eller ældre, er enheden sårbar.
Kan vi vente til weekenden med at gøre noget?
Kun hvis administrationsgrænsefladen allerede er utilgængelig fra internettet. Er den tilgængelig udefra, bør adgangen lukkes med det samme, da et angrebseksempel er offentliggjort.
Findes der en opdatering fra Comfast?
Nej, leverandøren har ikke reageret på henvendelser om sårbarheden, og der findes pr. offentliggørelsesdatoen ingen officiel rettelse.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at routeren faktisk er blevet udnyttet, og persondata eller kritiske systemer er berørt. Så skal I vurdere anmeldepligt efter databeskyttelsesreglerne og eventuelt kontakte Center for Cybersikkerhed.
Kan vi bare lukke porten i stedet for at udskifte routeren?
At lukke fjernadgang reducerer risikoen betydeligt, men løser ikke det underliggende problem. Da leverandøren ikke retter fejlen, bør udskiftning stadig indgå i jeres plan.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in Comfast CF-WR631AX V3 up to 2.7.0.8. Affected by this vulnerability is the function system_wl_upload_pic_file of the file /usr/bin/webmgnt of the component FastCGI Backend. This manipulation of the argument filename causes os command injection. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.