CVE-2026-82691: Kritisk fejl i D-Link NAS DNS-320L/345
Kritisk sårbarhed i D-Link NAS-enheder (DNS-320L/327L/340L/345) giver kommandoinjektion. Isolér enheden fra internettet.
Hvad er det?
Sårbarheden CVE-2026-82691 findes i D-Link’s NAS-enheder (netværksdrev til fildeling og backup) DNS-320L, DNS-327L, DNS-340L og DNS-345 med firmware til og med version 20260717. Fejlen sidder i CGI-handleren, den del af enhedens webgrænseflade der behandler forespørgsler, i filen /cgi-bin/usb_device.cgi. Parameteren f_ups_ip bliver ikke renset korrekt, før den sendes videre til enhedens styresystem. Det giver mulighed for kommandoinjektion: en angriber kan indsætte og afvikle egne systemkommandoer på enheden. Angrebet kan gennemføres over netværket uden brugerinteraktion, men kræver at angriberen allerede har administratorrettigheder til enhedens webgrænseflade.
Hvem rammer det?
Sårbarheden rammer virksomheder, foreninger og private med en D-Link DNS-320L, DNS-327L, DNS-340L eller DNS-345 NAS-enhed med firmware til og med 20260717 tilsluttet netværket. Disse enheder bruges ofte til fildeling og backup i mindre virksomheder og på hjemmekontorer. Risikoen er størst, hvis enhedens administrationsside er tilgængelig fra internettet eller fra et internt netværk uden adgangsbegrænsning.
Hvad kan ske?
Har en angriber eller får en angriber administratoradgang til enhedens webgrænseflade, kan vedkommende afvikle vilkårlige kommandoer på NAS-enhedens styresystem. Det giver reelt fuld kontrol over enheden: adgang til alle lagrede filer, mulighed for at installere skadelig kode, og mulighed for at bruge enheden som springbræt videre ind i virksomhedens netværk. For en dansk virksomhed, der bruger enheden til backup eller fildeling, kan konsekvensen være tab af fortrolige data, driftsstop og i værste fald afpresning.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ikke handling fra en bruger og kan udføres over netværket med lav kompleksitet. Til gengæld forudsætter det, at angriberen allerede har høje rettigheder, altså administratoradgang til enhedens webgrænseflade. Det kan opnås via stjålne eller standardadgangskoder eller via andre sårbarheder i enheden. En udnyttelse (exploit) er offentliggjort, så angrebsmetoden er kendt og kan bruges af flere uden selv at skulle udvikle den.
Hvad gør jeg nu?
D-Link har ikke udsendt en opdatering til disse ældre NAS-modeller, så indsatsen handler om at begrænse adgangen til enheden.
- Fjern NAS-enhedens webgrænseflade fra internettet: sluk for fjernadgang, portvideresendelse og UPnP, så enheden kun kan tilgås fra det interne netværk.
- Skift alle administratoradgangskoder til enheden til stærke, unikke koder, og deaktiver eventuelle standardkonti.
- Segmentér netværket, så NAS-enheden ikke kan tilgås fra samme netværk som medarbejdernes computere uden konkret behov.
- Undersøg om der findes nyere firmware til modellen, og opgradér hvis muligt. Er enheden reelt udgået (end-of-life), bør I planlægge udskiftning til en understøttet model.
- Gennemgå enhedens logfiler for uventede kommandoer eller adgang fra ukendte IP-adresser.
- Kontakt en sikkerhedsrådgiver, hvis I ikke kan afgøre om enheden er eksponeret, eller hvis I ser tegn på uautoriseret adgang.
Begræns adgang inden for 48 timer
Vi anbefaler, at I fjerner NAS-enhedens administrationsgrænseflade fra internettet og skifter alle adgangskoder, da D-Link ikke forventes at udsende en rettelse til disse ældre modeller. Er enheden kun tilgængelig fra et betroet internt netværk med opdaterede adgangskoder, kan I vente med udskiftning, men bør planlægge den snarest. Er enheden eksponeret mod internettet, bør I isolere den nu og overveje udskiftning frem for at vente på en opdatering, der sandsynligvis ikke kommer.
Tidslinje
Konkrete eksempler
Backup-NAS med fjernadgang
En dansk håndværksvirksomhed bruger en D-Link DNS-345 til at gemme backup af regnskab og tegninger, og har åbnet fjernadgang, så bogholderen kan tilgå filer hjemmefra. En angriber skaffer sig administratoradgang til enheden via en genbrugt adgangskode fra et andet datalæk, og udnytter herefter sårbarheden i usb_device.cgi til at afvikle kommandoer på enheden. Angriberen krypterer filerne og kræver løsepenge, mens virksomheden mister adgang til både backup og driftsdata.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-82691?
I er ramt, hvis I har en D-Link DNS-320L, DNS-327L, DNS-340L eller DNS-345 med firmware til og med version 20260717 tilsluttet jeres netværk. Log ind på enhedens webgrænseflade og tjek modelnavn og firmwareversion under systemoplysninger.
Hvordan tjekker vi, om enheden er tilgængelig fra internettet?
Tjek jeres router eller firewall for portvideresendelse til NAS-enhedens IP-adresse, og undersøg om UPnP er aktiveret. Er webgrænsefladen tilgængelig via en offentlig IP-adresse eller port, er enheden eksponeret.
Kan vi vente til weekenden med at gøre noget?
Er enheden ikke tilgængelig fra internettet og adgangskoderne er unikke og stærke, kan I vente kort tid. Er administrationsgrænsefladen tilgængelig fra internettet, bør I begrænse adgangen med det samme, da en udnyttelse allerede er offentliggjort.
Kommer der en opdatering fra D-Link?
Det er ikke oplyst. Modellerne er ældre, og D-Link har historisk ikke altid rettet sårbarheder i udgåede produkter. Planlæg udskiftning som en mulig løsning, hvis der ikke kommer en rettelse.
Skal vi anmelde det til myndighederne?
Kun hvis I konstaterer, at enheden faktisk er blevet kompromitteret og persondata er berørt. Selve sårbarheden udløser ikke i sig selv en anmeldelsespligt, men et konstateret brud kan gøre det.
Hvordan ved vi, om enheden allerede er kompromitteret?
Gennemgå enhedens logfiler for uventede kommandoer, ukendte administratorkonti, uventet netværkstrafik eller ændringer i lagrede filer. Er I i tvivl, bør I få en ekstern gennemgang af enheden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in D-Link DNS-320L, DNS-327L, DNS-340L and DNS-345 up to 20260717. Affected by this issue is some unknown functionality of the file /cgi-bin/usb_device.cgi of the component CGI Handler. Such manipulation of the argument f_ups_ip leads to os command injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.