CVE-2026-15701: Kritisk fejl i Totolink NR1800X router
Kritisk sikkerhedsfejl i Totolink NR1800X routere gør det muligt at overtage enheden uden login. Isolér enheden og afbryd fjernadgang i dag.
Hvad er det?
CVE-2026-15701 er en fejl i routeren Totolink NR1800X med firmware 9.1.0u.6279_B20210910. Fejlen sidder i funktionen Form_Logout i filen /formLogout.htm, som er en del af webserveren lighttpd, der styrer routerens administrationsside. Ved at sende et manipuleret Host-felt kan en angriber udløse et stack-based buffer overflow, en fejl hvor programmet skriver mere data ind i en hukommelsesblok, end den er beregnet til, så data flyder over i tilstødende hukommelse og kan bruges til at afvikle egen programkode på enheden. Angrebet kan udføres over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger.
Hvem rammer det?
Fejlen rammer Totolink NR1800X routere, der kører firmwareversion 9.1.0u.6279_B20210910. Det er typisk mindre virksomheder og hjemmekontorer, der bruger denne routertype som netværksgateway eller trådløst adgangspunkt. Er administrationssiden på routeren tilgængelig fra internettet, kan enheden angribes udefra uden yderligere forudsætninger.
Hvad kan ske?
En angriber kan sende en enkelt forberedt forespørgsel til routeren og derved få den til at gå ned eller, i værste fald, afvikle egen kode på enheden. Det giver angriberen fuld kontrol over routeren, herunder mulighed for at aflytte eller omdirigere netværkstrafik, ændre DNS-indstillinger og bruge enheden som springbræt til virksomhedens interne netværk. For en dansk virksomhed kan det betyde, at data fra interne systemer kan aflæses, og at routeren kan bruges som en bagdør ind i resten af netværket.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ikke fysisk adgang og ingen handling fra en bruger, kun at routerens administrationsside kan nås over netværket. Der findes offentligt tilgængelig angrebskode, som gør det muligt for enhver med grundlæggende teknisk kendskab at udnytte fejlen.
Hvad gør jeg nu?
Da der ikke foreligger en officiel opdatering fra Totolink på tidspunktet for offentliggørelsen, skal I i stedet begrænse adgangen til den sårbare funktion.
- Afbryd fjernadgang til routerens administrationsside fra internettet, så den kun kan nås fra det interne netværk.
- Undersøg om jeres NR1800X kører firmware 9.1.0u.6279_B20210910, og tjek Totolinks hjemmeside for en nyere version med rettelsen.
- Placér routeren bag en anden firewall eller udskift den, hvis der ikke kommer en opdatering inden for kort tid.
- Gennemgå routerens logfiler for usædvanlige forespørgsler mod /formLogout.htm.
- Skift adgangskoder til alt, der er nået fra det pågældende netværk, hvis I har haft administrationssiden eksponeret mod internettet.
- Kontakt os hos Auroa, hvis I er i tvivl om, hvorvidt jeres netværk er eksponeret, eller hvis I skal have hjælp til at afskærme og overvåge enheden.
Afbryd fjernadgang til enheden i dag
Vi anbefaler, at I straks lukker for fjernadgang til administrationssiden på jeres NR1800X routere og undersøger, om der findes en nyere firmwareversion fra Totolink. Er der ingen opdatering tilgængelig, bør I overveje at udskifte enheden, hvis den er placeret med adgang fra internettet. Det er ikke rimeligt at vente med at afskærme enheden, da angrebskoden er offentligt tilgængelig og angrebet ikke kræver login.
Tidslinje
Konkrete eksempler
Uafskærmet router hos mindre virksomhed
En dansk håndværksvirksomhed bruger en Totolink NR1800X som netværksrouter og har åbnet administrationssiden for fjernadgang for at kunne foretage support udefra. En angriber finder enheden via en almindelig internetscanning, udnytter fejlen i formLogout.htm og får kontrol over routeren. Herfra aflæser angriberen trafik og får adgang til virksomhedens interne filserver.
Ofte stillede spørgsmål
Hvordan ved vi, om vores router er ramt?
Tjek modelnavn og firmwareversion i routerens administrationsside eller på en mærkat på enheden. Er det en Totolink NR1800X med firmware 9.1.0u.6279_B20210910, er den ramt af sårbarheden.
Kan vi vente med at reagere til efter weekenden?
Nej. Angrebet kræver ikke login og kan udføres fra internettet, og angrebskoden er offentligt tilgængelig. Vi anbefaler at afskærme administrationssiden fra internettet samme dag, I opdager den er eksponeret.
Findes der en opdatering, vi kan installere?
Der er ikke oplyst en officiel opdatering fra Totolink på tidspunktet for offentliggørelsen. Tjek producentens hjemmeside regelmæssigt, og indtil da bør adgangen begrænses.
Er sårbarheden allerede udnyttet mod danske virksomheder?
Der er ikke rapporteret konkrete angreb mod danske virksomheder, men angrebskoden er offentligt tilgængelig, hvilket øger risikoen for, at fejlen bliver udnyttet bredt.
Skal vi anmelde dette til myndighederne?
Hvis I konstaterer, at routeren er blevet kompromitteret og persondata kan være berørt, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Kontakt os eller jeres databeskyttelsesrådgiver for en konkret vurdering.
Hvad koster det at vente med at handle?
Da angrebet ikke kræver login og kan udføres over internettet med offentligt tilgængelig kode, kan en uafskærmet router blive overtaget inden for kort tid, hvilket kan give en angriber adgang til hele det interne netværk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in Totolink NR1800X 9.1.0u.6279_B20210910. Affected by this issue is the function Form_Logout of the file /formLogout.htm of the component lighttpd. This manipulation of the argument Host causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.