CVE-2026-71921: Kritisk fejl i DrayTek VigorSwitch

CVE-2026-71921 er en sårbarhed i flere modeller af DrayTek VigorSwitch, en serie netværksswitche brugt til styring af virksomhedsnetværk. Fejlen findes i webgrænsefladen setget.cgi, hvor feltet ‘pass’ ikke bliver renset ordentligt, før værdien bruges i en systemkommando. Det betyder, at en angriber kan smugle egne kommandoer ind i det felt, switchen normalt bruger til adgangskode, og få dem udført direkte på styresystemet. Angrebet kræver ingen brugernavn eller adgangskode og ingen handling fra en medarbejder. Kommandoerne bliver kørt med root-rettigheder, altså den højeste adgang på enheden, hvilket giver fuld kontrol over switchen.

Sårbarheden rammer virksomheder og kommuner, der bruger DrayTek VigorSwitch-modeller med den sårbare setget.cgi-grænseflade. Det gælder både switche, hvor administrationsinterfacet er tilgængeligt fra internettet, og switche, der kun kan tilgås fra det interne netværk, da et internt kompromitteret system også kan udnytte fejlen. NVD-data angiver ikke en fuldstændig liste over berørte modelnumre eller firmwareversioner, så I bør tjekke jeres konkrete udstyr op mod DrayTeks egen sikkerhedsmeddelelse.

En angriber, der udnytter fejlen, får fuld kontrol over switchen med de højeste rettigheder. Det åbner for aflytning eller omdirigering af netværkstrafik, oprettelse af en fast bagdør ind i netværket, og brug af switchen som springbræt videre til servere og arbejdsstationer. For en dansk virksomhed betyder det i praksis, at en enkelt eksponeret switch kan give en angriber adgang til hele det interne netværk, herunder økonomisystemer, fildelinger og AD-servere.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen adgangskode og ingen klik fra en bruger. Det kan udføres over netværket, og kompleksiteten er lav, altså nem at gennemføre for en angriber med basal teknisk viden. Der er ikke oplyst tegn på aktiv udnyttelse i NVD-data på offentliggørelsestidspunktet, men den lave adgangsbarriere gør, at det kan ændre sig hurtigt, når detaljer om sårbarheden bliver kendt.

Følgende trin bør gennemføres i den viste rækkefølge.

1. Fjern administrationsinterfacet på jeres VigorSwitch fra internettet, hvis det er tilgængeligt udefra. Det lukker den mest oplagte angrebsvej med det samme.
2. Begræns adgang til switchens webgrænseflade til et afgrænset administrationsnetværk eller VPN, så kun betroede it-medarbejdere kan nå den.
3. Kontrollér DrayTeks officielle sikkerhedsmeddelelser for opdateret firmware til jeres konkrete modelnummer og installér den, så snart den er tilgængelig.
4. Gennemgå switchens logfiler for uventede kommandoer eller ukendte administratorkonti, der kan tyde på forudgående kompromittering.
5. Skift alle administrative adgangskoder på switchen og tilstødende netværksudstyr som ekstra sikkerhedsforanstaltning.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres udstyr er sårbart, eller hvis I finder tegn på misbrug i logfilerne.