CVE-2026-18686: Kritisk hul i GL.iNet GL-MT3000 router
Kritisk sårbarhed i GL.iNet GL-MT3000 routere lader angribere afvikle kommandoer uden login. Isolér styringsadgang og opdatér, når rettelse foreligger.
Hvad er det?
CVE-2026-18686 er en sårbarhed i GL.iNet GL-MT3000, en bærbar VPN-router også kendt som Beryl AX, i firmwareversioner til og med 4.4.5. Fejlen sidder i funktionen add_user i webkomponenten nas-web, som styrer routerens administrationsflade. Ved at sende en manipuleret forespørgsel til filen /cgi-bin/glc kan en angriber få routeren til at udføre kommando-injektion: egne systemkommandoer bliver kørt direkte på enhedens styresystem, uden at angriberen behøver at logge ind. Sårbarheden kan udnyttes over netværket, og et værktøj til at udnytte den er offentligt tilgængeligt.
Hvem rammer det?
Sårbarheden rammer GL.iNet GL-MT3000 med firmware op til og med version 4.4.5. Denne router bruges ofte af danske virksomheder som bærbar VPN-løsning til medarbejdere på farten, som midlertidig netværksadgang til messer og kundebesøg, eller som ekstra netværk i mindre kontorer. Enheder, der har administrationsfladen tilgængelig fra internettet eller fra et gæstenetværk, er særligt udsatte.
Hvad kan ske?
En angriber, der kan nå routerens administrationsflade, kan overtage enheden fuldstændigt: læse og ændre trafik, oprette skjulte brugere, installere skadelig software eller bruge routeren som adgangsvej videre ind i virksomhedens netværk. Da routeren ofte bruges til VPN-forbindelser, kan et kompromitteret apparat give adgang til data og systemer, som ellers ligger bag firewall.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Der findes offentligt tilgængeligt materiale til at udnytte sårbarheden, men der er ikke bekræftet aktiv udnyttelse i angreb pr. offentliggørelsesdatoen. Kombinationen af fuld fjernudnyttelse og offentligt værktøj gør risikoen høj.
Hvad gør jeg nu?
Følgende trin lukker eller begrænser hullet, prioriteret efter effekt:
- Tjek om jeres router er en GL.iNet GL-MT3000, og find firmwareversionen i administrationsfladen. Er den 4.4.5 eller ældre, er I berørt.
- Fjern administrationsfladen fra internettet. Deaktivér fjernstyring (WAN-adgang til admin) og begræns adgang til det lokale netværk eller en dedikeret VPN.
- Tjek jævnligt for firmwareopdatering fra GL.iNet, og installér den, så snart der findes en rettet version.
- Gennemgå routerens brugerliste og logs for uventede konti eller aktivitet, siden fejlen ligger i en funktion, der opretter brugere.
- Overvej at udskifte routeren, hvis den er kritisk for adgang til følsomme systemer, og der ikke kommer en rettelse inden for rimelig tid.
- Kontakt Auroa eller anden ekstern sikkerhedsrådgiver, hvis I ikke kan isolere administrationsfladen selv, eller hvis I finder tegn på, at routeren allerede er kompromitteret.
Isolér admin-adgang i dag
Vi anbefaler, at I straks lukker adgangen til routerens administrationsflade fra internettet, uanset om der findes en officiel rettelse endnu. Det er ikke tilrådeligt at vente til en planlagt opdateringsrunde, da et udnyttelsesværktøj allerede er offentligt. Det er kun forsvarligt at vente, hvis administrationsfladen allerede er utilgængelig udefra og kun kan nås fra et betroet, internt netværk.
Tidslinje
Konkrete eksempler
Medarbejder på farten med kompromitteret rejserouter
En dansk konsulentvirksomhed udstyrer medarbejdere med en GL-MT3000 til sikker VPN-adgang, når de arbejder fra kundekontorer eller hoteller. En angriber på samme netværk sender en manipuleret forespørgsel til routerens administrationsflade og får kommandoudførelse på enheden. Herfra aflytter angriberen VPN-trafikken og får adgang til virksomhedens interne systemer, uden at medarbejderen bemærker noget.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Log ind på routerens administrationsflade og tjek modelnavn og firmwareversion. Modellen hedder GL-MT3000, ofte solgt under navnet Beryl AX. Er firmwareversionen 4.4.5 eller lavere, er I berørt.
Er der en officiel rettelse fra GL.iNet?
Der er ikke oplyst en rettet firmwareversion på offentliggørelsesdatoen. Vi anbefaler at holde øje med GL.iNets officielle hjemmeside eller supportkanal for en opdatering.
Kan vi vente til efter weekenden med at gøre noget?
Det anbefaler vi ikke. Et udnyttelsesværktøj er offentligt tilgængeligt, og angrebet kræver hverken login eller brugerinteraktion. Luk administrationsfladen for ekstern adgang så hurtigt som muligt.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I konstaterer, at routeren faktisk er blevet kompromitteret, og det har medført brud på persondata. Så skal I vurdere anmeldelsespligt til Datatilsynet efter de almindelige regler.
Hvad gør vi, hvis vi ikke kan lukke fjernadgangen?
Overvej midlertidigt at afbryde routeren fra internettet, indtil administrationsfladen kan afskærmes, eller udskift den med en anden enhed, hvis den er forretningskritisk.
Er sårbarheden allerede udnyttet i angreb mod danske virksomheder?
Det er ikke bekræftet på offentliggørelsesdatoen. Der findes dog offentligt materiale, der gør det muligt at udnytte fejlen, hvilket øger risikoen for, at det sker.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was detected in GL.iNet GL-MT3000 up to 4.4.5. The affected element is the function nas-web.add_user of the file /cgi-bin/glc of the component nas-web RPC Wrapper. Performing a manipulation results in command injection. The attack can be initiated remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.