CVE-2026-79698: Kritisk fejl i Advantech WISE-6610

CVE-2026-79698 er en sårbarhed i Advantech WISE-6610-serien, en række industrielle IoT-gateways, der bruges til at forbinde sensorer og udstyr til netværk. Fejlen findes i funktionen nodered_lib_apply i komponenten Node-RED Library, et værktøj til at bygge automatiseringsflows på enheden. Ved at manipulere parameteren ‘act’ kan en angriber få enheden til at udføre vilkårlige systemkommandoer. Det kaldes kommandoinjektion: data, der burde behandles som almindelig tekst, bliver i stedet kørt som kommandoer på enhedens styresystem. Angrebet kan udføres over netværket, og der findes allerede offentligt tilgængelig kode til at udnytte fejlen.

Sårbarheden rammer hele WISE-6610-serien fra Advantech: WISE-6610-NB, EB, TB, JB, CB samt EL-varianterne EL-NB, EL-EB, EL-TB, EL-JB, EL-CB og de tre WISE-6610P-modeller DEA, DNA og DTA. Alle enheder med firmware 1.2.1_20251110 eller tidligere er sårbare. Enhederne bruges ofte som industrielle gateways i produktionsvirksomheder, forsyningsselskaber og kommuner, hvor de forbinder sensorer, PLC’er og andet udstyr til det øvrige netværk.

En angriber, der udnytter fejlen, kan køre vilkårlige kommandoer på gatewayen med de rettigheder, enheden selv har. I praksis betyder det fuld kontrol over enheden: aflæsning af data, ændring af konfiguration og brug af gatewayen som springbræt videre ind i produktions- eller OT-netværket. For en dansk virksomhed kan det betyde stop i produktionen, manipulation af sensordata eller adgang til andre systemer, som gatewayen er forbundet til.

CVSS-scoren er 9,9 ud af 10, hvilket er den øverste ende af skalaen. Angrebet kan udføres over netværket (AV:N) og er ikke teknisk svært at gennemføre (AC:L). Der kræves et lavt privilegeret login (PR:L), men ingen brugerhandling fra offeret (UI:N). Fejlen påvirker også systemer ud over selve enheden (S:C), og angriberen kan opnå fuld kontrol over fortrolighed, integritet og tilgængelighed. Der findes offentligt tilgængelig udnyttelseskode, men det er ikke bekræftet, at fejlen aktivt udnyttes i angreb.

Følgende trin bør gennemføres i denne rækkefølge:

1. Opdatér alle berørte WISE-6610-enheder til firmware 1.2.4_20260821, som lukker sårbarheden.
2. Kortlæg hvor mange enheder I har i drift, og hvilke firmwareversioner de kører.
3. Begræns netværksadgang til enhedernes administrationsgrænseflade, så kun betroede IP-adresser kan tilgå den.
4. Skift adgangskoder for alle konti med adgang til enhederne, da lavt privilegeret adgang er nok til at udnytte fejlen.
5. Gennemgå logs for usædvanlig aktivitet på enhederne og det tilstoppede netværk.
6. Har I mange enheder i drift eller kan I ikke opdatere med det samme, bør I søge hjælp fra en sikkerhedsrådgiver til at afgrænse netværket midlertidigt.