CVE-2026-19959: Kritisk fejl i Edimax EW-7478APC-router
Kritisk sårbarhed i Edimax-routeren EW-7478APC giver fjernangriber fuld kontrol uden login. Der findes ingen opdatering, isolér enheden fra internettet.
Hvad er det?
En sårbarhed i routeren Edimax EW-7478APC version 1.04 (CVE-2026-19959) gør det muligt for en angriber at overtage enheden fuldstændigt over netværket. Fejlen findes i funktionen formWanTcpipSetup, som håndterer opsætning af internetforbindelsen (WAN). Ved at sende et for langt brugernavn i parameteren pppUserName kan angriberen fremkalde et stack-baseret bufferoverløb, hvor data skriver ud over den hukommelse, der er afsat til opgaven, og dermed overskriver programmets kontrolflow. Det kan bruges til at køre vilkårlig kode på routeren. Angrebet kræver kun lave rettigheder og ingen handling fra en bruger, og kan udføres over netværket. Et program, der demonstrerer angrebet, en såkaldt proof-of-concept, er allerede offentliggjort.
Hvem rammer det?
Sårbarheden rammer virksomheder og private, der bruger routeren Edimax EW-7478APC med firmwareversion 1.04. Routeren bruges typisk som internetadgangspunkt i mindre kontorer, butikker og hjemmekontorer. Er administrationsgrænsefladen tilgængelig fra internettet eller fra et usikret netværk, er risikoen størst.
Hvad kan ske?
En angriber, der udnytter sårbarheden, kan få fuld kontrol over routeren. Det betyder adgang til at aflæse og omdirigere al trafik, der går gennem enheden, sætte den ind i et botnet, eller bruge den som indgang til det interne netværk. For en dansk virksomhed kan det føre til aflytning af følsomme data, afbrydelse af internetforbindelsen eller at routeren bliver springbræt til yderligere angreb på interne systemer.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder og ingen handling fra en bruger, og kan udføres fra internettet. Konsekvensen er fuld kompromittering af enhedens fortrolighed, integritet og tilgængelighed. Der er offentliggjort et program, der demonstrerer angrebet, men det er endnu ikke bekræftet aktivt udnyttet i angreb. Leverandøren er kontaktet men har ikke reageret, og der findes ingen opdatering.
Hvad gør jeg nu?
Da der ikke findes en officiel opdatering, handler det om at begrænse adgangen til routeren og forberede udskiftning.
- Fjern administrationsgrænsefladen fra internettet: sluk fjernadministration og sørg for, at /goform-siderne kun kan tilgås fra det lokale netværk.
- Skift alle adgangskoder til routeren, herunder eventuelle PPP-brugernavne og kodeord til internetforbindelsen.
- Segmentér netværket, så routeren ikke har direkte adgang til interne servere og arbejdsstationer.
- Overvåg routerens logfiler og netværkstrafik for uventede genstarter eller ukendte forbindelser.
- Planlæg udskiftning af enheden til en model, hvor leverandøren fortsat udgiver sikkerhedsopdateringer, da Edimax ikke har reageret på henvendelsen.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om routeren er eksponeret mod internettet, eller hvis I har brug for hjælp til at segmentere netværket.
Isolér routeren fra internettet nu
Vi anbefaler, at I straks kontrollerer, om jeres Edimax EW-7478APC-router har administrationsgrænsefladen åben mod internettet, og lukker den, hvis det er tilfældet. Da leverandøren ikke har reageret på sårbarheden, bør I samtidig planlægge udskiftning af enheden. Det er ikke forsvarligt at vente, da et offentligt tilgængeligt angrebsprogram allerede findes.
Tidslinje
Konkrete eksempler
Router som indgang til kontornetværk
En mindre dansk virksomhed bruger Edimax EW-7478APC som internetrouter i kontoret og har aktiveret fjernadministration, så it-support kan tilgå den udefra. En angriber finder enheden ved at scanne internettet for åbne administrationsgrænseflader, udnytter bufferoverløbet i pppUserName-feltet og får fuld kontrol over routeren. Herfra omdirigerer angriberen trafikken og får adgang til virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vi ramt af sårbarheden?
I er ramt, hvis I bruger routeren Edimax EW-7478APC med firmware version 1.04. Tjek modelnummer og firmwareversion i routerens administrationsside eller på mærkatet på enheden.
Hvordan tjekker vi, om routeren er udsat?
Kontrollér, om administrationssiden kan tilgås fra internettet, ikke kun fra jeres lokale netværk. Kan I logge på routeren udefra, er den udsat.
Kan vi vente til weekenden med at reagere?
Nej. Der er offentliggjort et program, der demonstrerer angrebet, og angrebet kræver ingen brugerhandling. Vi anbefaler at begrænse adgangen til routeren samme dag, I opdager problemet.
Findes der en opdatering, vi kan installere?
Nej. Edimax er kontaktet om sårbarheden, men har ikke svaret, og der er ingen officiel opdatering tilgængelig. Løsningen er at begrænse adgangen til enheden og planlægge udskiftning.
Skal vi anmelde dette til myndighederne?
Hvis routeren har været tilgængelig fra internettet, og I finder tegn på, at den er blevet kompromitteret, og der er sket databrud, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller os for en vurdering.
Hvad gør vi, hvis vi ikke kan udskifte routeren med det samme?
Sæt routeren bag en anden firewall eller router, så administrationsgrænsefladen ikke er tilgængelig udefra, og segmentér netværket, så en kompromitteret router ikke giver adgang til interne systemer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A weakness has been identified in Edimax EW-7478APC 1.04. This affects the function formWanTcpipSetup of the file /goform/formWanTcpipSetup. This manipulation of the argument pppUserName causes stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.