CVE-2026-71957: Kritisk fejl i D-Link DWR-M961 router
Kritisk bufferoverløb i D-Link DWR-M961 routere lader angribere uden login køre kode. Isolér enheden fra internettet nu.
Hvad er det?
CVE-2026-71957 er en sårbarhed i D-Link DWR-M961 routere med hardwareversion C1 og softwareversion 1.1.2_C1_202602110044. Fejlen er et bufferoverløb, en programmeringsfejl hvor et program skriver mere data til et hukommelsesområde, end det er beregnet til, og derved overskriver andre dele af hukommelsen. Sårbarheden findes i webgrænsefladen app.cgi, konkret i feltet netAcc.addlist[].name. En angriber kan sende en for lang tekststreng til feltet og dermed få enheden til at udføre vilkårlige kommandoer eller gå ned.
Hvem rammer det?
Sårbarheden rammer alle, der bruger en D-Link DWR-M961 router med hardwareversion C1 og softwareversion 1.1.2_C1_202602110044. Routeren bruges typisk som mobilt bredbåndsmodem eller backup-internetforbindelse i mindre kontorer, filialer og hjemmekontorer i danske virksomheder. Er administrationsgrænsefladen tilgængelig fra internettet, er risikoen størst.
Hvad kan ske?
En angriber, der kan nå routerens webgrænseflade, kan uden at logge ind sende en særligt udformet forespørgsel og få fuld kontrol over enheden. Det betyder, at angriberen kan omdirigere trafik, aflytte data, gøre enheden til del af et botnet eller bruge den som indgang til resten af netværket. En tilsyneladende uskyldig internetrouter kan dermed blive springbræt til virksomhedens interne systemer.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kræver ikke login, ingen handling fra en bruger, og kan udnyttes over netværket med lav teknisk kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er pr. offentliggørelsesdatoen ikke oplyst aktiv udnyttelse, men den lave kompleksitet og det manglende krav om login gør sårbarheden attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Følgende punkter reducerer risikoen mest effektivt først:
- Tjek, om jeres D-Link DWR-M961 kører softwareversion 1.1.2_C1_202602110044, og opdatér til en nyere version, hvis D-Link har udgivet en.
- Fjern administrationsgrænsefladen (app.cgi) fra internettet, så den kun kan nås fra det interne netværk.
- Deaktivér fjernadministration, hvis funktionen ikke er nødvendig for jeres drift.
- Overvåg enheden for uventede genstarter eller ændrede indstillinger, som kan indikere misbrug.
- Overvej at udskifte enheden, hvis D-Link ikke udgiver en rettelse inden for rimelig tid.
- Få en sikkerhedsrådgiver til at gennemgå netværket, hvis I ikke selv kan afgøre, om enheden er sårbar eller allerede kompromitteret.
Isolér routeren inden for 24 timer
Vi anbefaler, at I straks tjekker, om jeres D-Link DWR-M961 kører den sårbare softwareversion, og at I fjerner administrationsgrænsefladen fra internettet, mens I afventer en rettelse fra D-Link. Er routeren kun tilgængelig fra det interne netværk og ikke kritisk for driften, kan I vente med udskiftning til en opdatering er klar. Er routeren derimod eksponeret mod internettet, bør I handle samme dag.
Tidslinje
Konkrete eksempler
En filial mister kontrollen over sin router
En mindre dansk detailkæde bruger en D-Link DWR-M961 som backup-internetforbindelse i en filial. Routerens administrationsside er tilgængelig fra internettet for nem fjernsupport. En angriber finder enheden via en scanning af åbne routere, udnytter fejlen i app.cgi og får fuld kontrol over enheden, som herefter bruges til at aflytte netværkstrafik i filialen.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vi bruger den sårbare version?
Log ind på routerens administrationsside og find systeminformation eller enhedsstatus. Sårbarheden gælder hardwareversion C1 med softwareversion 1.1.2_C1_202602110044.
Er vi allerede angrebet?
Se efter uventede genstarter, ændrede netværksindstillinger eller ukendte enheder på netværket. Er I i tvivl, bør en sikkerhedsrådgiver gennemgå routerens log.
Kan vi vente til weekenden med at gøre noget?
Kun hvis routerens administrationsgrænseflade ikke er tilgængelig fra internettet. Er den eksponeret, bør I handle samme dag, da sårbarheden kan udnyttes uden login.
Har D-Link udgivet en rettelse?
Der er pr. offentliggørelsesdatoen ikke oplyst en fast rettelse fra D-Link. Tjek D-Links supportside for DWR-M961 regelmæssigt for opdateringer.
Kan vi nøjes med at slukke fjernadministration i stedet for at opdatere?
Det reducerer risikoen markant, men fjerner ikke selve fejlen i enheden. Det er en god midlertidig løsning, men ikke en erstatning for en fremtidig rettelse.
Skal vi anmelde dette til myndighederne?
Er personoplysninger blevet kompromitteret som følge af et angreb, skal I vurdere anmeldelse til Datatilsynet efter GDPR-reglerne. Søg juridisk rådgivning, hvis I er i tvivl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain a buffer overflow vulnerability in the app.cgi interface. A remote attacker can write an overly long string to the netAcc.addlist[].name field and execute arbitrary commands by crafting a specific payload, or cause the device to crash.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.