CVE-2026-83524: Kritisk fejl i RedPort Optimizer wXa-serien
Kritisk sårbarhed i RedPort Optimizer wXa-203/213/223 giver kommandoinjektion. Isolér enheden fra internettet, ingen opdatering findes.
Hvad er det?
CVE-2026-83524 er en sårbarhed i RedPort Optimizer wXa-203, wXa-213 og wXa-223, satellitkommunikationsudstyr der bruges til at optimere internetforbindelse over skib eller offshore. Fejlen sidder i filen /xgatev1/system/datetime.php, som styrer enhedens systemklokke. Ved kommandoinjektion, hvor en angriber snyder systemet til at udføre egne styresystemkommandoer i stedet for de tilsigtede, kan en angriber få enheden til at afvikle vilkårlige kommandoer på operativsystemniveau. Angrebet kan udføres over netværket og kræver kun en lav grad af rettigheder, altså et almindeligt brugerlogin, ingen administratorrettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder der bruger RedPort Optimizer wXa-203, wXa-213 eller wXa-223 med firmware op til og med version 20260704. Det gælder typisk rederier, fiskerivirksomheder, offshore serviceleverandører og andre med skibe eller platforme, der bruger disse enheder til at dele satellitinternet mellem besætning og systemer om bord.
Hvad kan ske?
En angriber med adgang til enhedens webgrænseflade kan afvikle egne kommandoer på systemet og dermed overtage det fuldstændigt. Da udnyttelsen ændrer omfanget af angrebet (scope changed), kan angriberen potentielt bevæge sig videre fra optimizeren og ind i andre systemer på det samme netværk, for eksempel navigationsudstyr, administrative systemer eller besætningens interne net. Det kan betyde afbrudt kommunikation, aflytning af trafik eller manipulation af data, der sendes via satellitforbindelsen.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket, kræver ingen handling fra en bruger og har lav kompleksitet, men kræver et lavt niveau af rettigheder på enheden, altså et gyldigt login. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. En udnyttelse af sårbarheden er offentliggjort, og leverandøren har ikke reageret på henvendelser om fejlen, hvilket betyder der ikke findes en officiel opdatering.
Hvad gør jeg nu?
Da der ikke findes en opdatering fra leverandøren, handler det om at begrænse adgangen til enheden mest muligt.
- Fjern enhedens administrationsgrænseflade fra det åbne internet, og tillad kun adgang via VPN eller et lukket internt netværk.
- Skift alle standardadgangskoder og gennemgå, hvem der har login-adgang til enheden i dag.
- Segmenter netværket, så optimizeren ikke kan tilgå kritiske systemer som navigation eller administrative servere direkte.
- Overvåg logfiler for uventede kald til /xgatev1/system/datetime.php eller anden unormal trafik mod enheden.
- Undersøg om leverandøren senere udgiver en opdatering, og hold øje med RedPorts hjemmeside for status.
- Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke kan isolere enheden i egen drift eller er i tvivl om jeres netværksopsætning.
Isolér enheden inden for 24 timer
Vi anbefaler, at I straks begrænser netværksadgangen til jeres RedPort Optimizer-enheder og fjerner dem fra det åbne internet, da der ikke findes en officiel opdatering. Det er ikke i orden at vente, fordi udnyttelsen allerede er offentliggjort og kan bruges af enhver med adgang til enhedens grænseflade. Er enheden allerede isoleret bag et lukket netværk uden ekstern adgang, kan risikoen håndteres mere roligt, men vi anbefaler stadig at gennemgå adgangskoder og logs.
Tidslinje
Konkrete eksempler
Rederi med satellitinternet om bord
Et dansk rederi bruger en RedPort Optimizer til at dele satellitinternet mellem besætning og administrative systemer på et skib. En angriber finder enhedens webgrænseflade eksponeret mod internettet, logger ind med et svagt login og udnytter kommandoinjektionen til at få adgang til styresystemet. Herfra bevæger angriberen sig videre til skibets interne netværk og får adgang til driftsdata.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en RedPort Optimizer wXa-203, wXa-213 eller wXa-223 med firmware op til og med version 20260704. Tjek jeres enheds firmwareversion i administrationsgrænsefladen eller kontakt jeres leverandør af satellitudstyr.
Hvordan tjekker vi, om enheden er blevet udnyttet?
Gennemgå logfilerne på enheden for usædvanlige kald til /xgatev1/system/datetime.php eller kommandoer, der ikke stammer fra normal drift. Se også efter ukendte brugerkonti eller ændringer i enhedens konfiguration.
Kan vi vente med at gøre noget til efter weekenden?
Nej. Udnyttelsen er allerede offentliggjort, og enheden er tilgængelig over netværket uden krav om brugerinteraktion. Vi anbefaler at begrænse adgangen til enheden samme dag, I opdager problemet.
Findes der en opdatering fra RedPort?
Ikke pr. offentliggørelsesdatoen. Leverandøren blev kontaktet tidligt i processen, men har ikke reageret. Det betyder, at I selv skal håndtere risikoen gennem netværksbegrænsning, indtil eller hvis en opdatering udgives.
Skal vi anmelde dette til myndighederne?
Hvis I driver kritisk infrastruktur eller er underlagt sikkerhedslovgivning, for eksempel som del af transportsektoren, bør I vurdere, om sårbarheden skal indberettes efter jeres branches regler. Er I i tvivl, kan vi hjælpe med at vurdere anmeldelsespligten.
Kan vi bare slukke enheden i stedet for at isolere den?
Det er en gyldig og enkel løsning, hvis enheden ikke er kritisk for jeres drift lige nu. Er den nødvendig for kommunikation, bør I i stedet begrænse netværksadgangen og overvåge den tæt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security vulnerability has been detected in RedPort Optimizer wXa-203, Optimizer wXa-213 and Optimizer wXa-223 up to 20260704. This impacts the function exec of the file /xgatev1/system/datetime.php of the component System Clock. The manipulation leads to command injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.