CVE-2026-79697: Kommandoinjektion i Advantech WISE-6610
Kommandoinjektion i Advantech WISE-6610 routere kan give angribere fuld kontrol over enheden. Opdatér til 1.2.4_20260821.
Hvad er det?
Sårbarheden CVE-2026-79697 er en kommandoinjektion, hvor en angriber kan smugle egne systemkommandoer ind gennem et inputfelt, som enheden burde behandle som almindelig tekst. Fejlen sidder i funktionen basicstation_apply, der håndterer sletning af certifikater til Basic Station-modulet i Advantech WISE-6610 industrielle mobilrouter og gateway-enheder. Ved at manipulere argumentet ‘act’ kan en angriber få enheden til at udføre vilkårlige kommandoer i operativsystemet. Angrebet kan udføres over netværket uden brugerinteraktion, og der findes allerede offentligt kendt information om, hvordan sårbarheden kan udnyttes.
Hvem rammer det?
Sårbarheden rammer hele WISE-6610-serien fra Advantech, herunder WISE-6610-NB, EB, TB, JB, CB, samt EL- og P-varianterne, alle på firmwareversion 1.2.1_20251110 eller tidligere. Disse enheder bruges typisk som mobile datagateways og routere i industrielt udstyr, fjernovervågning, IoT-installationer og OT-netværk hos produktionsvirksomheder, forsyningsselskaber og kommuner med fjernstyret udstyr.
Hvad kan ske?
En angriber, der har opnået lav-privilegeret adgang til enhedens managementgrænseflade, kan injicere kommandoer og dermed overtage fuld kontrol over routeren. Det giver mulighed for at læse eller ændre data, afbryde forbindelsen til fjernudstyr, installere skadelig software eller bruge enheden som indgang til det interne netværk, hvor den er tilsluttet. For en dansk virksomhed kan det betyde tab af overblik over produktionsudstyr, driftsstop eller at enheden bruges som springbræt til angreb videre ind i netværket.
Hvor alvorligt er det?
CVSS-score er 9,9 af 10, hvilket er kritisk. Angrebet kræver kun lave privilegier og ingen brugerinteraktion, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der findes offentligt kendt information om udnyttelsen, men det er ikke bekræftet, at sårbarheden aktivt udnyttes i angreb endnu.
Hvad gør jeg nu?
Sårbarheden er allerede rettet af leverandøren, så første skridt er at opdatere.
- Opdatér firmware på alle WISE-6610-enheder til version 1.2.4_20260821 eller nyere.
- Lav en oversigt over, hvor mange og hvilke WISE-6610-varianter I har i drift, inklusive placering på netværket.
- Begræns adgangen til enhedernes managementgrænseflade, så den kun kan nås via VPN eller et afgrænset administrationsnet.
- Gennemgå logs for uventede certifikat-sletninger eller ukendte kommandoer på enhederne.
- Hvis enhederne indgår i produktionskritisk udstyr, og I ikke selv kan planlægge opdateringen, bør I hente ekstern hjælp til at gennemføre den sikkert uden driftsafbrydelse.
Opdatér inden for 48 timer
Vi anbefaler at opdatere alle WISE-6610-enheder til version 1.2.4_20260821 så hurtigt som muligt, da der er offentligt kendt information om udnyttelsen. Det er kun forsvarligt at vente, hvis enhederne allerede er isoleret fra internettet og kun tilgængelige via en stærkt begrænset administrationsforbindelse, og selv da bør opdateringen planlægges inden for få dage.
Tidslinje
Konkrete eksempler
Fjernstyret produktionsudstyr hos dansk fremstillingsvirksomhed
En dansk produktionsvirksomhed bruger en WISE-6610-gateway til at overvåge og fjernstyre maskiner på en satellitfabrik. En angriber, der har opnået begrænset adgang til gatewayens administrationsside, udnytter kommandoinjektionen til at få fuld kontrol over enheden. Herfra kan angriberen afbryde overvågningen af produktionslinjen eller bruge gatewayen som indgang til virksomhedens interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger de ramte enheder?
Tjek administrationsgrænsefladen eller enhedens mærkat for modelnavn (WISE-6610 med variantbetegnelse) og gå ind under systeminformation for at se firmwareversionen. Er den 1.2.1_20251110 eller ældre, er enheden ramt.
Kan vi vente med opdateringen til weekenden?
Det afhænger af, om enhedens managementgrænseflade er tilgængelig fra internettet eller et bredt internt netværk. Er den det, bør opdateringen ske hurtigst muligt og ikke vente til en planlagt vindue senere i ugen.
Kræver angrebet, at angriberen er logget ind?
Ja, angrebet kræver lave privilegier, altså en form for adgang til systemet, men ingen brugerinteraktion fra en administrator. Det betyder, at en angriber med begrænset adgang kan eskalere til fuld kontrol.
Er sårbarheden udnyttet i praksis?
Der er offentligt tilgængelig information om, hvordan sårbarheden kan udnyttes, men det er ikke bekræftet, at den aktivt bliver udnyttet i angreb på danske virksomheder.
Hvad gør vi, hvis vi ikke kan opdatere firmware med det samme?
Isolér enheden bag en firewall eller VPN, så managementgrænsefladen ikke er direkte tilgængelig fra internettet eller et bredt internt net, indtil opdateringen kan gennemføres.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis I konstaterer, at en enhed er blevet kompromitteret og persondata eller kritisk drift er påvirket, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt kontakte Center for Cybersikkerhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in Advantech WISE-6610-NB, WISE-6610-EB, WISE-6610-TB, WISE-6610-JB, WISE-6610-CB, WISE-6610-EL-NB, WISE-6610-EL-EB, WISE-6610-EL-TB, WISE-6610-EL-JB, WISE-6610-EL-CB, WISE-6610P-DEA, WISE-6610P-DNA and WISE-6610P-DTA 1.2.1_20251110. This affects the function basicstation_apply of the component Basic Station Certificate-Deletion Handler. This manipulation of the argument act causes command injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 1.2.4_20260821 is able to mitigate this issue. Upgrading the affected component is advised. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.