CVE-2026-18685: Kritisk fejl i GL.iNet GL-MT3000 router
Kritisk sikkerhedshul i GL.iNet GL-MT3000 (CVE-2026-18685) giver angribere fuld kontrol over routeren uden login. Afskærm den fra internettet nu.
Hvad er det?
CVE-2026-18685 er en sårbarhed i routeren GL.iNet GL-MT3000, i firmwareversioner op til 4.4.5. Fejlen sidder i funktionen set_upgrade i filen /cgi-bin/glc, som hører til komponenten modem.so. Fejltypen kaldes kommandoindsprøjtning: en angriber kan smugle egne systemkommandoer ind i et felt, routeren tror er almindelige data, og få den til at udføre dem. Fordi funktionen kan nås over netværket uden login og uden at nogen bruger klikker på noget, kan hele processen automatiseres. Der findes offentligt tilgængelig kode, der demonstrerer, hvordan hullet udnyttes.
Hvem rammer det?
Det rammer virksomheder, der bruger GL.iNet GL-MT3000 som mobil router eller backup-internetforbindelse, for eksempel til pop-up butikker, servicevogne, byggepladser eller filialer med begrænset netværk. Alle enheder med firmware op til og med 4.4.5 er berørte, uanset om routeren administreres lokalt eller er tilgængelig fra internettet.
Hvad kan ske?
En angriber, der kan nå routerens administrationsgrænseflade, kan udføre kommandoer med routerens rettigheder. I praksis betyder det, at angriberen kan overtage enheden fuldstændigt, aflytte eller omdirigere al trafik igennem den, og bruge routeren som springbræt ind i det interne netværk. For en dansk virksomhed kan det ende med, at kundedata på et POS-system eller en medarbejders VPN-forbindelse bliver kompromitteret, uden at nogen har klikket på noget.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, hvilket er den højeste kategori. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger, og det kan udføres over netværket. Fortrolighed, integritet og tilgængelighed rammes alle i fuld udstrækning. Der findes offentligt kendt kode, der viser, hvordan sårbarheden udnyttes, men vi har ikke set bekræftede rapporter om, at den bruges i aktive angreb.
Hvad gør jeg nu?
Fordi der ikke findes en officiel opdatering på nuværende tidspunkt, handler første skridt om at fjerne muligheden for at nå den sårbare funktion udefra.
- Sørg for, at administrationsgrænsefladen på GL-MT3000 ikke er tilgængelig fra internettet. Slå fjernadministration (WAN-adgang) fra i routerens indstillinger.
- Placér routeren bag en firewall, så kun betroede enheder på det lokale netværk kan nå /cgi-bin/glc.
- Tjek GL.iNets hjemmeside og supportkanaler regelmæssigt for en firmwareopdatering, der retter fejlen, og installér den, så snart den udkommer.
- Gennemgå logfiler for usædvanlige kommandoer eller ukendte opkald til set_upgrade-funktionen.
- Overvej at udskifte enheden med en model uden kendt sårbarhed, hvis den bruges til kritisk infrastruktur og ingen opdatering er på vej.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afskærme enheden eller er i tvivl om, hvorvidt jeres opsætning er eksponeret.
Afskærm routeren fra internettet i dag
Vi anbefaler, at I straks fjerner fjernadministration på alle GL-MT3000-enheder og placerer dem bag en firewall, indtil en officiel opdatering findes. Det er ikke i orden at vente, hvis routeren i dag er tilgængelig fra internettet, da angrebet kan gennemføres uden login. Er enheden allerede afskærmet på et internt netværk uden eksponering udad, kan I vente med udskiftning til jeres næste vedligeholdelsesvindue, men overvåg samtidig for firmwareopdatering.
Tidslinje
Konkrete eksempler
Mobil router på en byggeplads
Et dansk håndværkerfirma bruger en GL-MT3000 som internetadgang på en byggeplads, hvor medarbejderne logger på firmaets system via mobilnettet. Fordi routerens administrationsside er tilgængelig udefra for at gøre fjernsupport nemmere, kan en angriber sende en kommando via set_upgrade-funktionen og overtage enheden. Herfra kan angriberen aflytte medarbejdernes trafik og få adgang til firmaets projektsystem.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er berørte, hvis I bruger en GL.iNet GL-MT3000 med firmware op til version 4.4.5. Tjek routerens administrationsside for firmwareversion, eller spørg den, der satte enheden op.
Kan vi vente til weekenden med at gøre noget?
Hvis routerens administrationsgrænseflade er tilgængelig fra internettet, bør I lukke den adgang i dag. Er enheden allerede kun tilgængelig fra jeres interne netværk, er risikoen lavere, og I kan vente til næste arbejdsdag.
Findes der en opdatering, der retter fejlen?
Der er ikke oplyst en fast dato for en rettende firmwareopdatering. Vi anbefaler at holde øje med GL.iNets officielle kanaler og installere en opdatering, så snart den udkommer.
Hvordan tjekker vi, om routeren er eksponeret på internettet?
Kontrollér i routerens indstillinger, om fjernadministration (ofte kaldet WAN-adgang eller remote management) er slået til. Er den det, kan enheden potentielt nås udefra, og bør lukkes ned.
Skal vi anmelde dette til en myndighed?
Der er ikke pligt til at anmelde selve sårbarheden. Konstaterer I derimod, at enheden faktisk er blevet udnyttet og persondata er kompromitteret, kan det udløse en anmeldelsespligt efter databeskyttelsesreglerne, og det bør vurderes konkret.
Kan vi bruge routeren, mens vi venter på en løsning?
Ja, hvis I sørger for, at administrationsgrænsefladen ikke kan nås fra internettet, og at kun betroede enheder på det lokale netværk har adgang til den. Så reduceres risikoen markant, selv uden en opdatering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in GL.iNet GL-MT3000 up to 4.4.5. Impacted is the function set_upgrade of the file /cgi-bin/glc of the component modem.so. Such manipulation leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.