CVE-2026-71983: Kritisk fejl i MSI Radix AXE6600-router

CVE-2026-71983 er en kommando-injektion, en fejl hvor et program uforvarende lader en angriber sende styresystemkommandoer ind gennem et inputfelt, der skulle indeholde almindelige data. Fejlen findes i webgrænsefladen wps.cgi på MSI Radix AXE6600-routere med firmwareversion v781521. Parametrene pin2g, pin5g og pin6g, som normalt bruges til at konfigurere trådløs WPS-opsætning, bliver ikke renset for farlige tegn, før de sendes videre til routerens styresystem. En angriber kan derfor putte egne kommandoer ind i disse felter og få routeren til at udføre dem med de højeste rettigheder, root.

Alle virksomheder og private, der har en MSI Radix AXE6600-router med firmware v781521 kørende, herunder enheder placeret som primær internetadgang, gæstenetværk eller VPN-endepunkt. Det er relevant for mindre kontorer og filialer, hvor denne routertype ofte bruges uden central it-overvågning. Sårbarheden rammer routerens administrationsgrænseflade og kræver, at wps.cgi er tilgængelig, hvilket ofte er tilfældet både fra det lokale netværk og i nogle opsætninger direkte fra internettet.

En angriber, der kan nå routerens webgrænseflade, kan overtage enheden fuldstændigt uden brugernavn eller adgangskode. Med rodrettigheder kan angriberen omdirigere al trafik, aflytte data, installere skadelig software, bruge routeren som springbræt ind i virksomhedens interne netværk eller lægge den ind i et botnet. For en dansk virksomhed betyder det i praksis, at hele netværksadgangen kan være kompromitteret, uden at der er logget ind noget sted.

CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen adgangskode, ingen brugerinteraktion og kan udføres over netværket med lav kompleksitet. Det betyder, at en angriber, der kan sende trafik til routerens administrationsside, kan udnytte fejlen direkte. Der er ikke oplyst om et officielt tilgængeligt sikkerhedsopdatering fra MSI på tidspunktet for offentliggørelsen, og der er ikke rapporteret om aktiv udnyttelse i det åbne, men den offentliggjorte beskrivelse indeholder nok detaljer til, at en teknisk kyndig person kan bygge et angreb.

Følg disse trin for at reducere risikoen, indtil MSI udsender en rettelse:

1. Deaktivér WPS-funktionen og fjern adgang til wps.cgi fra internettet, hvis den er eksponeret der.
2. Begræns adgang til routerens administrationsgrænseflade, så kun betroede interne IP-adresser kan nå den.
3. Undersøg om MSI har udsendt en ny firmwareversion til Radix AXE6600, og opdatér, så snart den findes.
4. Overvej at udskifte routeren med en model, der understøttes aktivt, hvis MSI ikke leverer en rettelse inden for rimelig tid.
5. Gennemgå routerens logs for uventede kommandoer eller ukendte administratorlogins.
6. Kontakt en sikkerhedsrådgiver, hvis routeren håndterer forretningskritisk trafik eller I er i tvivl om, hvordan I begrænser eksponeringen korrekt.