CVE-2026-71958: Kritisk fejl i D-Link DWR-M961
D-Link DWR-M961-routere har et kritisk bufferoverløb i opsætningssiden. Bloker fjernadgang til grænsefladen i dag.
Hvad er det?
CVE-2026-71958 er en sårbarhed i D-Link DWR-M961, en router med mobilt bredband, der ofte bruges som primær eller backup-internetforbindelse. Fejlen ligger i quicksetup.cgi, den webside enheden bruger til hurtig opsætning. Når felterne test4, ssid2 eller username modtager for lange tekststrenge, opstår et bufferoverløb, en fejl hvor programmet skriver mere data end det afsatte lagerplads kan rumme. En angriber kan udnytte det til at få enheden til at udføre vilkårlige kommandoer eller simpelthen gå ned. Fejlen kræver ikke login og ingen handling fra en bruger på netværket, kun adgang til opsætningssiden over netværket.
Hvem rammer det?
Sårbarheden rammer D-Link DWR-M961 med hardwareversion C1 og softwareversion 1.1.2_C1_202602110044. Det gælder virksomheder og institutioner, der bruger denne router som mobilt bredband, backup-internet eller til fjernlokationer uden fast internet. Er enhedens opsætningsside tilgængelig fra internettet eller fra et delt netværk, er den udsat.
Hvad kan ske?
En angriber kan sende en specielt formet forespørgsel til opsætningssiden og få enheden til at udføre kommandoer med fuld kontrol over routeren, eller få den til at gå ned og afbryde internetforbindelsen. Fuld kontrol over routeren betyder, at angriberen kan aflytte trafik, ændre DNS-indstillinger, bruge enheden som springbræt ind i det interne netværk eller lukke virksomhedens internetadgang helt.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver netværksadgang, men ingen login og ingen handling fra en medarbejder. Det påvirker fortrolighed, integritet og tilgængelighed i højeste grad, hvilket i praksis betyder fuld overtagelse af enheden uden nogen forudgående barriere. Der er ikke oplyst aktiv udnyttelse i naturen, men den detaljerede beskrivelse af de sårbare felter peger på, at metoden er kendt og kan gengives af andre end forskeren, der fandt fejlen.
Hvad gør jeg nu?
Følg trinene i denne rækkefølge for at lukke hullet og begrænse skaden, mens I venter på en officiel løsning.
- Tjek D-Links support-side for firmwareopdatering til DWR-M961 hardware C1, og installer den, hvis den findes.
- Er der ingen opdatering, skal opsætningssiden (quicksetup.cgi) og administrationsgrænsefladen straks lukkes for adgang fra internettet, så kun lokalt netværk kan nå den.
- Segmenter routeren, så den ikke har direkte adgang til jeres interne servere og arbejdsstationer.
- Gennemgå logfiler for usædvanlig trafik mod opsætningssiden fra ukendte IP-adresser.
- Overvej udskiftning af enheden, hvis D-Link ikke leverer en opdatering inden for rimelig tid, især hvis modellen er tæt på udfasning.
- Er I i tvivl om, hvordan I afskærmer administrationsgrænsefladen korrekt eller segmenterer netværket, bør I hente hjælp udefra.
Bloker fjernadgang til grænsefladen i dag
Vi anbefaler, at I straks afskærmer administrationsgrænsefladen på DWR-M961 fra internettet, uanset om der findes en opdatering. Er routeren kun tilgængelig fra jeres interne, betroede netværk, kan I vente til næste planlagte vedligeholdelsesvindue med selve opdateringen. Er den derimod eksponeret mod internettet i dag, er afskærmningen ikke noget, der kan vente.
Tidslinje
Konkrete eksempler
Backup-router eksponeret mod internettet
En dansk SMV bruger en D-Link DWR-M961 som backup-internetforbindelse på et lager uden fast IT-tilsyn. Administrationssiden er ved en fejl tilgængelig fra internettet, fordi den blev sat op hurtigt uden opfølgning. En angriber finder enheden ved en almindelig scanning af åbne porte, sender en formet forespørgsel til opsætningssiden og overtager routeren. Herefter aflytter angriberen trafik og bruger enheden som indgang til virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vores router er ramt?
Log ind på routerens administrationsside og se hardware- og softwareversion under systemoplysninger. Er hardwareversionen C1 og softwareversionen 1.1.2_C1_202602110044, er enheden ramt af sårbarheden.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af aktiv udnyttelse pr. offentliggørelsesdatoen. Den detaljerede beskrivelse af de sårbare felter gør det dog forholdsvis let for andre at gengive angrebet.
Kan vi vente til weekenden med at rette op?
Kun hvis opsætningssiden allerede er afskærmet fra internettet og kun tilgængelig fra et betroet internt netværk. Er den tilgængelig udefra, bør adgangen begrænses samme dag, den opdages.
Skal vi anmelde episoden til myndighederne?
Det er kun relevant, hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet, og der er sket et sikkerhedsbrud med persondata eller driftsstop. Ren afdækning af en sårbarhed uden udnyttelse kræver ikke anmeldelse.
Hvad gør vi, hvis der ikke findes en opdatering fra D-Link?
Så er afskærmning af administrationsgrænsefladen fra internettet og netværkssegmentering jeres bedste midlertidige beskyttelse. Overvej samtidig, om enheden bør udskiftes, hvis D-Link ikke melder en tidsplan for en rettelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
D-Link DWR-M961 devices with hardware version C1 and software version 1.1.2_C1_202602110044 contain a buffer overflow vulnerability in the quicksetup.cgi interface. A remote attacker can write overly long strings to the test4, ssid2, and username fields and execute arbitrary commands by crafting a specific payload, or cause the device to crash.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.