CVE-2026-71993: Kritisk fejl i MSI Radix AXE6600-router
CVE-2026-71993 er en kritisk fejl i MSI Radix AXE6600-routere, der lader angribere uden login få fuld kontrol over enheden. Isolér routeren fra internettet nu.
Hvad er det?
CVE-2026-71993 er en sårbarhed i firmware version v781521 til MSI Radix AXE6600-routere. Fejlen er en kommando-indsprøjtning (CWE-78), hvor en angriber kan sende ondsindet input til enhedens macfilter-funktion, som bruges til at styre adgang for netværksenheder baseret på deres MAC-adresse. Fordi funktionen ikke renser input korrekt, kan angriberen få openvpn-funktionen på routeren til at udføre egne systemkommandoer med root-rettigheder, altså fuld administratoradgang til enheden.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger MSI Radix AXE6600-routere med firmware v781521. Det gælder både administration af fjernadgang via openvpn og opsætning af netværksadgangsregler via macfilter. Danske SMV’er og kommunale enheder, der har sat routeren op med fjern-VPN-adgang eller ekstern administration, er særligt udsatte.
Hvad kan ske?
En angriber kan fra internettet, uden login, overtage routeren fuldstændigt og få root-adgang, det højeste niveau af kontrol på enheden. Det giver mulighed for at aflytte og omdirigere al netværkstrafik, oprette skjulte adgangsveje ind i virksomhedens netværk, og bruge routeren som springbræt til angreb på servere og medarbejdercomputere bag den. Da routeren ofte styrer VPN-forbindelser, kan angriberen også komme ind i interne systemer, som normalt kun er tilgængelige for fjernarbejdende medarbejdere.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger, og kan udføres over netværket, altså fra internettet uden fysisk adgang til enheden. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på enheden. Der er ikke oplyst, om sårbarheden aktivt udnyttes, men den tekniske beskrivelse af angrebsmetoden er offentligt kendt, hvilket gør det lettere for andre at reproducere angrebet.
Hvad gør jeg nu?
Følg disse skridt, indtil en officiel opdatering er installeret:
- Tjek MSI’s supportside for en nyere firmwareversion end v781521, og installér den, så snart den er tilgængelig. Det lukker hullet direkte.
- Er der ingen opdatering endnu, skal fjernadgang til routerens administrationsgrænseflade og openvpn-funktion deaktiveres eller begrænses til betroede interne IP-adresser.
- Placér routeren bag en firewall, der blokerer uopfordret indgående trafik fra internettet til administrationsporten.
- Gennemgå logs for uventede kommandoer eller uautoriserede ændringer i macfilter-reglerne, som kan indikere allerede sket misbrug.
- Overvej at udskifte enheden, hvis MSI ikke udsender en opdatering inden for rimelig tid.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om routeren allerede er kompromitteret, eller hvis fjernadgangen er forretningskritisk og ikke kan afbrydes.
Isolér routeren og vent på opdatering
Vi anbefaler, at I straks begrænser adgangen til routerens administrationsgrænseflade og openvpn-funktion, og at I overvåger for en firmwareopdatering fra MSI. Det er kun forsvarligt at vente, hvis routeren allerede er fuldt isoleret fra internettet og kun tilgængelig fra et betroet internt netværk. Er routeren en del af jeres eksterne fjernadgang, bør I handle nu, da konsekvensen ved misbrug er fuld overtagelse af netværket.
Tidslinje
Konkrete eksempler
Fjernarbejdende medarbejdere udnyttet som indgang
En dansk produktionsvirksomhed bruger en MSI Radix AXE6600-router til at give medarbejdere VPN-adgang hjemmefra. En angriber finder routerens administrationsside eksponeret på internettet, udnytter macfilter-funktionen til at sende skadelige kommandoer, og får root-adgang til routeren. Herfra aflytter angriberen VPN-trafikken og får adgang til virksomhedens interne filserver, uden at nogen medarbejder har klikket på noget eller opgivet et password.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-71993?
I er ramt, hvis I bruger en MSI Radix AXE6600-router med firmware v781521. Tjek firmwareversionen i routerens administrationsgrænseflade eller kontakt jeres it-leverandør, hvis I ikke selv har administreret enheden.
Kan vi vente til weekenden med at gøre noget?
Nej, ikke uden at begrænse adgangen først. Angrebet kræver ingen login og kan udføres fra internettet, så en eksponeret router bør afskærmes samme dag, I opdager sårbarheden.
Hvordan tjekker vi, om routeren allerede er kompromitteret?
Gennemgå routerens logs for uventede kommandoer, ukendte administratorkonti eller ændringer i macfilter-reglerne, som I ikke selv har foretaget. Se også efter uventet udgående trafik fra routeren.
Findes der en officiel opdatering fra MSI?
Der er ikke oplyst en opdatering i det tilgængelige materiale på offentliggørelsesdatoen. Tjek MSI’s supportside regelmæssigt, og indtil da bør fjernadgang begrænses.
Skal vi anmelde dette til myndighederne?
Hvis routeren har været eksponeret og der er tegn på misbrug, bør I overveje at anmelde det som et sikkerhedsbrud efter jeres interne procedurer og eventuelt til Center for Cybersikkerhed, hvis persondata er berørt.
Kan vi bare slukke openvpn-funktionen som løsning?
Det lukker den mest direkte angrebsvej, men macfilter-funktionen kan stadig være sårbar. Den mest sikre løsning er at begrænse al administrationsadgang og opdatere firmwaren, så snart den findes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MSI Radix AXE6600 router firmware version v781521 contains a command injection vulnerability in the openvpn function that allows remote attackers to execute arbitrary commands on the affected device. Attackers can exploit the macfilter function to inject malicious commands and obtain root privileges on the underlying system.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.