CVE-2026-71944: Kritisk fejl i D-Link DWR-M961
Kritisk sårbarhed i D-Link DWR-M961 routere lader angribere køre kommandoer som root uden login. Opdatér firmware til 1.1.5_C1_202607071108.
Hvad er det?
CVE-2026-71944 er en kommandoinjektion, det vil sige en fejl hvor et system fejlagtigt lader en bruger indsætte sine egne systemkommandoer i stedet for de forventede data. Fejlen sidder i webinterfacet /boafrm/formLtefotaUpgradeQuectel på D-Link DWR-M961, hvor feltet fota_url ikke renses for specialtegn. En angriber kan derfor sende en forespørgsel med skjulte kommandoer, som routeren udfører med root-rettigheder, den højeste administrative rettighed på enheden.
Hvem rammer det?
Sårbarheden rammer D-Link DWR-M961 med hardwareversion C1 og firmware ældre end 1.1.5_C1_202607071108. Det er typisk mobile LTE-routere, som danske virksomheder bruger som primær internetforbindelse eller backup i butikker, filialer, produktionshaller eller pop-up-lokationer uden fast bredbånd.
Hvad kan ske?
En angriber uden gyldigt login kan sende en enkelt forespørgsel over netværket og få routeren til at udføre vilkårlige kommandoer som root. I praksis betyder det fuld overtagelse af enheden: angriberen kan ændre DNS-indstillinger og dermed omdirigere trafik, aflytte al data der går gennem routeren, bruge enheden som adgangsvej ind i det interne netværk, eller inddrage den i et botnet til videre angreb.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, kritisk. Angrebet kræver netværksadgang, men ingen login (PR:N) og ingen brugerhandling (UI:N), og kompleksiteten er lav. Det betyder, at enhver med adgang til routerens webinterface, herunder over internettet hvis fjernadministration er aktiveret, kan udnytte fejlen automatiseret. Der er ikke oplysning om aktiv udnyttelse på offentliggørelsesdatoen, men fejltypen og den lave kompleksitet gør den attraktiv at automatisere.
Hvad gør jeg nu?
Følg punkterne i den viste rækkefølge for at lukke hullet hurtigst muligt.
- Opdatér firmware til version 1.1.5_C1_202607071108 eller nyere via D-Links officielle supportside eller administrationsinterface.
- Deaktivér fjernadministration af routeren, hvis den ikke er nødvendig, så webinterfacet kun kan tilgås fra det lokale netværk.
- Skift standard adgangskoder til admin-interfacet, hvis det ikke allerede er gjort.
- Placér routeren bag en firewall og segmenter den fra kritiske interne systemer, så en eventuel overtagelse ikke giver direkte adgang til resten af netværket.
- Gennemgå routerens logfiler for usædvanlig trafik til /boafrm/formLtefotaUpgradeQuectel, hvis I har mulighed for det.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan opdatere firmware, eller hvis routeren er tilgængelig fra internettet og I er i tvivl om, hvorvidt den allerede er kompromitteret.
Opdatér inden for 24 timer
Vi anbefaler at opdatere firmware med det samme, da sårbarheden kan udnyttes uden login og giver fuld root-adgang til routeren. Det er kun forsvarligt at vente, hvis routeren er isoleret fra internettet og det interne netværk, og selv da bør opdateringen planlægges inden for få dage. Er I i tvivl om, hvor mange enheder der er eksponerede, hjælper vi gerne med en hurtig gennemgang.
Tidslinje
Konkrete eksempler
Filial med LTE-backup uden opdatering
En dansk butikskæde bruger D-Link DWR-M961 som backup-internet i flere filialer, hvor fjernadministration er aktiveret for at lette support. En angriber scanner internettet, finder de eksponerede routere, og sender en forespørgsel til fota_url-feltet, som giver root-adgang. Herfra ændrer angriberen DNS-indstillingerne og omdirigerer betalingstrafik til en falsk server.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores router er ramt?
Tjek modelbetegnelsen D-Link DWR-M961 og hardwareversion C1 på enheden eller i administrationsinterfacet, og se den aktuelle firmwareversion under systeminfo. Er versionen ældre end 1.1.5_C1_202607071108, er enheden sårbar.
Kan vi vente til weekenden med at opdatere?
Det er ikke tilrådeligt, hvis routeren har fjernadministration aktiveret eller er tilgængelig fra internettet. Fejlen kræver ikke login og kan udnyttes automatisk, så vi anbefaler at opdatere firmware samme dag, den bliver muliggjort.
Er sårbarheden udnyttet i praksis?
Der er ingen offentlig dokumentation for aktiv udnyttelse på offentliggørelsesdatoen. Det ændrer dog ikke ved, at fejlen er let at udnytte, og at man bør opdatere uanset.
Skal vi anmelde dette til myndighederne?
Kun hvis I konstaterer, at routeren faktisk er blevet kompromitteret og persondata eller kritiske systemer er berørt. Så følger I jeres almindelige procedure for sikkerhedsbrud, herunder eventuel anmeldelse til Datatilsynet.
Hvad gør vi, hvis vi ikke kan opdatere firmware selv?
Isoler routeren fra internettet ved at deaktivere fjernadministration, og kontakt en sikkerhedsrådgiver eller D-Links support for hjælp til opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
D-Link DWR-M961 devices with hardware version C1 and firmware version before 1.1.5_C1_202607071108 contain a command injection vulnerability in the /boafrm/formLtefotaUpgradeQuectel interface. A remote attacker can inject arbitrary malicious commands into the fota_url field, resulting in command execution with root privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.