CVE-2026-18616: Kritisk fejl i GL-iNet GL-MT3000
Kritisk sårbarhed i GL-iNet GL-MT3000 routere giver angribere fuld kontrol uden login. Tjek firmwareversion og afskærm administrationsadgang nu.
Hvad er det?
CVE-2026-18616 er en kommandoinjektion i GL-iNet GL-MT3000, en populær rejse- og VPN-router. Fejlen sidder i funktionen server.set_peer i filen /cgi-bin/glc, som er en del af plugin’et wg-server.so. Kommandoinjektion betyder, at en angriber kan indsætte egne systemkommandoer i et felt, som routeren burde behandle som almindelig tekst. Her sker det via parameteren public_key, som routeren sender videre til systemet uden tilstrækkelig kontrol. Angrebet kan udføres over netværket uden login og uden at en bruger skal klikke på noget. Der findes offentligt tilgængelig kode, der demonstrerer angrebet, og leverandøren har bekræftet sårbarheden.
Hvem rammer det?
Alle, der bruger GL-iNet GL-MT3000 (kendt som Beryl AX) med firmware op til version 4.4.5. Routeren bruges ofte af konsulenter, medarbejdere på farten og mindre virksomheder som bærbar VPN-router eller til at oprette sikre forbindelser mellem kontorer. Er administrationsgrænsefladen eksponeret mod internettet, eller bruges routeren til fjernadgang, er risikoen størst.
Hvad kan ske?
En angriber kan sende en enkelt forespørgsel til routeren og få den til at udføre valgfrie kommandoer med routerens rettigheder. I praksis betyder det fuld overtagelse af routeren: aflytning eller omdirigering af netværkstrafik, adgang til VPN-forbindelser, og et springbræt ind i virksomhedens interne netværk. For en dansk virksomhed, der bruger routeren til at forbinde en filial eller en medarbejder hjemmefra, kan et angreb give adgang til systemer, der ellers er beskyttet af firewall og VPN.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, det vil sige, at angriberen kan læse, ændre og lukke ned for routerens funktioner. Der findes offentligt tilgængelig angrebskode, men vi har ingen bekræftede oplysninger om, at sårbarheden aktivt udnyttes i angreb mod danske virksomheder.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Tjek firmwareversionen på jeres GL-MT3000 routere. Er den 4.4.5 eller ældre, er den sårbar.
- Fjern administrationsgrænsefladen (cgi-bin/glc) fra internettet. Adgang bør kun ske fra internt betroet netværk.
- Deaktivér fjernadministration og VPN-serverfunktionen (wg-server), hvis den ikke er nødvendig, til leverandøren har frigivet en opdatering.
- Overvåg leverandørens hjemmeside for firmwareopdatering, og opdatér så snart den er tilgængelig.
- Gennemgå routerens logs for uventede kommandoer eller ukendte trafikmønstre, der kan tyde på tidligere kompromittering.
- Kontakt Auroa eller anden it-sikkerhedsrådgiver, hvis routeren indgår i kritisk infrastruktur, eller hvis I finder tegn på misbrug.
Afskærm adgang inden for 24 timer
Vi anbefaler, at I straks lukker administrationsgrænsefladen for internetadgang og deaktiverer wg-server-funktionen, hvis den ikke er nødvendig. Det er ikke tilrådeligt at vente, da angrebskoden er offentligt tilgængelig, og angrebet kræver hverken login eller brugerinteraktion. Det er først acceptabelt at vente, når leverandøren har frigivet en opdateret firmware, og I har opdateret alle sårbare enheder.
Tidslinje
Konkrete eksempler
Medarbejder på farten med GL-MT3000
En dansk konsulentvirksomhed udstyrer medarbejdere med GL-iNet GL-MT3000 routere til sikker VPN-forbindelse, når de arbejder hos kunder. En router med åben administrationsadgang på et hotelnetværk bliver fundet af en angriber, der udnytter sårbarheden til at få fuld kontrol over routeren og dermed adgang til VPN-forbindelsen ind til virksomhedens interne systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek firmwareversionen på jeres GL-iNet GL-MT3000 routere via administrationsgrænsefladen. Er versionen 4.4.5 eller ældre, er routeren sårbar.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebskoden er offentligt tilgængelig, og angrebet kræver ingen login. Afskærmning af administrationsadgangen bør ske samme dag, I læser dette.
Findes der en officiel opdatering?
Leverandøren har bekræftet sårbarheden, men der er ingen bekræftet firmwareopdatering på offentliggørelsesdatoen. Følg leverandørens hjemmeside for status.
Skal vi anmelde dette til myndighederne?
Er der tegn på, at routeren faktisk er kompromitteret og har givet adgang til persondata eller kritiske systemer, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller Auroa for en konkret vurdering.
Er andre GL-iNet routere også ramt?
NVD-beskrivelsen nævner kun GL-MT3000. Har I andre GL-iNet modeller, bør I alligevel tjekke leverandørens sikkerhedsmeddelelser, da lignende plugins kan gå igen i andre produkter.
Hvad gør vi, hvis vi ikke kan lukke administrationsadgangen for internettet?
Isolér routeren bag en anden firewall, begræns adgang til kendte IP-adresser, og deaktivér wg-server-funktionen, hvis den ikke er kritisk for driften, indtil en opdatering findes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was identified in GL-iNet GL-MT3000 up to 4.4.5. The impacted element is the function server.set_peer of the file /cgi-bin/glc of the component wg-server.so Native Plugin. The manipulation of the argument public_key leads to command injection. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.