CVE-2026-18684: Kritisk fejl i GL.iNet GL-MT3000

CVE-2026-18684 er en sårbarhed i routeren GL.iNet GL-MT3000 i firmwareversioner op til 4.4.5. Fejlen findes i funktionen remove_profile i filen /cgi-bin/glc, som hører til komponenten modem.so. Sårbarheden er en kommandoinjektion, det vil sige at en angriber kan indsætte og få routeren til at afvikle egne systemkommandoer gennem et felt, der normalt kun bruges til at fjerne en modemprofil. Angrebet kan udføres over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger. En færdig kode til at udnytte fejlen er offentligt tilgængelig, og leverandøren har bekræftet, at sårbarheden findes.

Sårbarheden rammer alle, der bruger GL.iNet GL-MT3000 med firmware version 4.4.5 eller ældre. Det gælder både private og virksomheder, der bruger denne router som rejserouter, 4G/5G-router eller til fjernkontorer og filialer med begrænset netværk. Danske virksomheder, der har udrullet disse routere til hjemmearbejdspladser, pop-up-kontorer eller som backup-internetforbindelse, bør tjekke deres udstyr.

En angriber, der kan sende netværkstrafik til routerens administrationsgrænseflade, kan udløse fejlen og få routeren til at afvikle egne kommandoer, typisk med fulde rettigheder på enheden. Det betyder, at angriberen kan overtage routeren fuldstændigt, aflytte og omdirigere trafik, ændre DNS-indstillinger og bruge routeren som indgang til det interne netværk. For en dansk virksomhed kan det betyde, at kundedata og interne systemer bliver eksponeret, uden at nogen medarbejder har klikket på noget eller opgivet en adgangskode.

CVSS-scoren er 9,8 ud af 10, hvilket er den højeste kategori. Angrebet kræver ikke login, ikke fysisk adgang og ingen handling fra en bruger, og det kan udføres over internettet. Fortrolighed, integritet og tilgængelighed er alle fuldt påvirket, det vil sige at angriberen kan læse, ændre og lukke ned for enhedens funktion. Der findes offentligt tilgængelig kode til at udnytte fejlen, men vi har ikke set bekræftede rapporter om, at den bliver brugt i aktive angreb.

Følgende trin lukker hullet og begrænser skaden, mens I venter på en løsning fra leverandøren.

1. Tjek på GL.iNets hjemmeside, om der findes en nyere firmwareversion end 4.4.5, og opdatér routeren, hvis muligt.
2. Er der ingen opdatering tilgængelig, så slå fjernadgang og webadministration fra, så /cgi-bin/glc ikke kan nås fra internettet.
3. Begræns adgang til routerens administrationsside til et internt, betroet netværk via firewallregler.
4. Skift adgangskoder til routeren og gennemgå, hvem der har administratoradgang.
5. Gennemgå logs for usædvanlige forbindelser til administrationsgrænsefladen i perioden efter 03-08-2026.
6. Kontakt Auroa eller anden it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om routeren er eksponeret, eller hvis I finder tegn på misbrug.