CVE-2026-71956: Kritisk fejl i D-Link DWR-M961

CVE-2026-71956 er en sårbarhed i D-Link DWR-M961 routere, som skyldes kommandoinjektion. Det betyder, at et program uforvarende videresender data fra en bruger direkte til styresystemet, som så udfører det som en kommando. Fejlen sidder i webgrænsefladen app.cgi, i feltet netDig.ping.dst, som normalt bruges til at teste netværksforbindelser. Ved at indsætte skadelige kommandoer i dette felt kan en angriber få routeren til at udføre vilkårlig kode med rootrettigheder, altså fuld administratoradgang til enhedens styresystem. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres over netværket.

Sårbarheden rammer D-Link DWR-M961 med hardwareversion C1 og softwareversion 1.1.2_C1_202602110044. Denne router bruges ofte som mobilt bredbåndsmodem eller som backupforbindelse i mindre virksomheder, filialer og kommunale institutioner, hvor der ikke er investeret i mere avanceret netværksudstyr. Hvis routerens administrationsgrænseflade er tilgængelig fra internettet, eller hvis en angriber allerede har fodfæste i det lokale netværk, er enheden sårbar.

En angriber, der udnytter sårbarheden, får fuld kontrol over routeren med de højeste rettigheder. Herfra kan angriberen aflytte al trafik gennem enheden, omdirigere internetforbindelsen, installere skadelig software eller bruge routeren som springbræt videre ind i virksomhedens interne netværk. For en dansk virksomhed betyder det risiko for datatyveri, afbrydelse af internetforbindelsen og i værste fald adgang til andre systemer bag routeren, herunder servere og medarbejdercomputere.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på routeren. Der er ikke oplyst om aktiv udnyttelse i praksis pr. offentliggørelsesdatoen, men sårbarhedens lave adgangsbarriere gør den attraktiv for automatiserede angreb, så snart teknikken bliver kendt.

Følg punkterne nedenfor i rækkefølge for at reducere risikoen mest muligt:

1. Fjern routerens administrationsgrænseflade fra internettet, så den kun kan tilgås fra det interne netværk.
2. Undersøg hos D-Link, om der findes en opdateret firmwareversion til DWR-M961 C1, og installér den, hvis den findes.
3. Er der ingen opdatering tilgængelig, bør enheden udskiftes med udstyr, der understøttes aktivt.
4. Gennemgå routerens logfiler for usædvanlige kommandoer eller trafikmønstre, der kan tyde på tidligere kompromittering.
5. Segmentér netværket, så en kompromitteret router ikke giver direkte adgang til servere og arbejdsstationer.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om enheden er eksponeret, eller hvis I mistænker, at den allerede er udnyttet.