CVE-2026-82616: Kritisk fejl i TOTOLINK NR1800X-router
Kritisk fejl i TOTOLINK NR1800X-routere kan give angribere fuld kontrol over enheden. Isolér routeren og tjek firmware nu.
Hvad er det?
CVE-2026-82616 er en fejl i TOTOLINK NR1800X-routere med firmware 9.1.0u.6681_B20230703. Fejlen sidder i funktionen setUploadSetting i filen /cgi-bin/cstecgi.cgi, som routeren bruger til at modtage indstillinger via sit webinterface. Ved at sende et for langt filnavn i parameteren FileName kan en angriber overskrive routerens hukommelse, det der kaldes et stak-baseret bufferoverløb. Det kan give angriberen mulighed for at køre sin egen kode på routeren. Der findes offentliggjort kode, der udnytter fejlen.
Hvem rammer det?
Fejlen rammer virksomheder og kommuner, der har en TOTOLINK NR1800X-router med firmware 9.1.0u.6681_B20230703 i drift. Det kan være en hovedrouter, en router til en filial, eller en enhed opsat til fjernadgang eller VPN. TOTOLINK-routere sælges typisk som billige alternativer til større mærker og bruges ofte i mindre virksomheder uden dedikeret it-afdeling.
Hvad kan ske?
En angriber, der udnytter fejlen, kan køre egen kode på routeren og dermed få fuld kontrol over den. Det betyder mulighed for at aflytte al netværkstrafik, omdirigere trafik til falske sider, bruge routeren som indgang til det interne netværk, eller lukke internetforbindelsen helt ned. For en dansk virksomhed kan det i praksis betyde, at kunde- og medarbejderdata bliver eksponeret, eller at routeren bliver en del af et botnet, der bruges til angreb mod andre.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerhandling fra offeret, og det kræver kun et lavt privilegeret login til routerens webinterface, hvilket ofte er en standardadgangskode, der aldrig er blevet ændret. Der er ikke rapporteret aktiv udnyttelse i angreb, men koden til at udnytte fejlen er offentliggjort, så risikoen for at blive udnyttet er reel.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Tjek TOTOLINKs hjemmeside for en firmwareopdatering til NR1800X, og installer den, hvis den findes.
- Findes ingen opdatering, skal routerens webinterface tages ud af luften fra internettet, så det kun kan nås fra det interne netværk.
- Skift standardadgangskoden på routeren til en unik og stærk kode, hvis det ikke allerede er gjort.
- Gennemgå routerens logfiler for usædvanlig aktivitet, herunder ukendte administratorlogins eller ændrede indstillinger.
- Overvej at udskifte enheden, hvis TOTOLINK ikke udsender en rettelse inden for kort tid.
- Kontakt en it-sikkerhedspartner, hvis I ikke selv kan verificere firmwareversion eller afskærme adgangen til routeren.
Isolér routeren inden for 24 timer
Vi anbefaler, at I straks tjekker, om jeres netværk indeholder en TOTOLINK NR1800X-router med den nævnte firmwareversion. Findes der ingen officiel rettelse, bør adgangen til routerens administrationsside afskæres fra internettet med det samme, og standardadgangskoder skal skiftes. Det er ikke forsvarligt at vente til en fast opdateringsrunde, fordi koden til at udnytte fejlen allerede er offentlig tilgængelig.
Tidslinje
Konkrete eksempler
Filial-router bliver indgang til netværket
En mindre dansk produktionsvirksomhed bruger en TOTOLINK NR1800X til at forbinde en filial til hovedkontoret. Routerens administrationsside er ved en fejl tilgængelig fra internettet med standardadgangskoden. En angriber udnytter fejlen til at overtage routeren, aflæser trafikken mellem filial og hovedkontor, og bruger adgangen til at forsøge sig videre ind i virksomhedens interne systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Log ind på routerens administrationsside og se model og firmwareversion under systemoplysninger. Er modellen NR1800X og firmwareversionen 9.1.0u.6681_B20230703, er I ramt.
Kan vi vente med at reagere til efter weekenden?
Nej. Angrebskoden er offentliggjort, og fejlen kan udnyttes over internettet uden brugerhandling. Vi anbefaler, at administrationssiden afskæres fra internettet samme dag, I opdager problemet.
Er der en officiel opdatering fra TOTOLINK?
Der er ikke på nuværende offentliggjorte oplysninger en bekræftet rettelse fra TOTOLINK. Tjek producentens hjemmeside for den nyeste firmware, og opdater så snart en rettelse frigives.
Er vi allerede blevet angrebet?
Det kan I kun afklare ved at gennemgå routerens logfiler for ukendte administratorlogins, ændrede opsætninger eller usædvanlig netværkstrafik. Er I i tvivl, bør I søge hjælp til en gennemgang.
Skal vi anmelde forholdet til nogen?
Er der konstateret et faktisk databrud, hvor personoplysninger er kompromitteret, skal det anmeldes til Datatilsynet inden 72 timer. Er der kun tale om en sårbarhed, der endnu ikke er udnyttet, er der ikke krav om anmeldelse.
Hvad gør vi, hvis vi ikke kan finde en opdatering?
Afskær administrationsinterfacet fra internettet, skift adgangskoder, og overvej at udskifte routeren med en model, der stadig får sikkerhedsopdateringer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was found in TOTOLINK NR1800X 9.1.0u.6681_B20230703. Impacted is the function setUploadSetting of the file /cgi-bin/cstecgi.cgi. The manipulation of the argument FileName results in stack-based buffer overflow. The attack can be executed remotely. The exploit has been made public and could be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.