CVE-2026-86167: Kritisk kommandoinjektion i Tenda HG10
Kritisk fejl i Tenda HG10-routere lader angribere køre systemkommandoer over netværket. Exploit-kode er offentligt tilgængelig.
Hvad er det?
CVE-2026-86167 er en sårbarhed i Tenda HG10-routeren, firmwareversion 300001138. Fejlen findes i funktionen formgponConf i webadministrationsgrænsefladen Boa, hvor parameteren fmgpon_loid ikke bliver renset korrekt, før den bruges. Det gør det muligt at udføre kommandoinjektion, det vil sige at få routerens styresystem til at udføre angriberens egne kommandoer gennem et almindeligt indtastningsfelt i administrationssiden. Angrebet kan udføres over netværket uden fysisk adgang til enheden.
Hvem rammer det?
Sårbarheden rammer virksomheder og private, der bruger Tenda HG10-routere med firmwareversion 300001138. Det gælder både opsætninger, hvor administrationsgrænsefladen kun er tilgængelig fra det lokale netværk, og opsætninger, hvor fjernadministration er aktiveret og dermed tilgængelig fra internettet. Danske virksomheder, der bruger denne router som internetadgang, gæstenetværk eller VPN-endepunkt, bør undersøge, om enheden er i brug hos dem.
Hvad kan ske?
En angriber, der udnytter sårbarheden, får mulighed for at køre kommandoer med routerens rettigheder, hvilket i praksis betyder fuld kontrol over enheden. Det kan bruges til at omdirigere trafik, aflytte netværkstrafik, installere skadelig software eller bruge routeren som springbræt ind i virksomhedens interne netværk. Da routeren ofte sidder i skellet mellem internettet og det interne netværk, kan konsekvensen sprede sig langt ud over selve enheden.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,9 ud af 10, kritisk. Angrebet kræver netværksadgang, lav kompleksitet og kun lave privilegier, det vil sige en begrænset form for adgang til administrationsgrænsefladen, men ingen brugerinteraktion fra et offer. Der findes offentligt tilgængelig kode til at udnytte fejlen, men det er ikke bekræftet, at den bliver udnyttet i stor skala endnu. Kombinationen af høj skade og let tilgængeligt angrebskode gør risikoen reel.
Hvad gør jeg nu?
Følg punkterne i prioriteret rækkefølge for at reducere risikoen mest muligt.
- Undersøg om I bruger en Tenda HG10-router med firmwareversion 300001138, og om administrationsgrænsefladen er tilgængelig fra internettet.
- Deaktiver fjernadministration, og begræns adgang til administrationsgrænsefladen til det lokale netværk.
- Skift alle adgangskoder til routerens administration til unikke, stærke koder.
- Følg Tendas supportside for en opdateret firmware, og installer den, så snart den er tilgængelig.
- Overvej at udskifte routeren, hvis der ikke kommer en opdatering inden for rimelig tid, da Tenda-udstyr ofte har lang responstid på sikkerhedsfejl.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres netværk er eksponeret, eller hvis I finder tegn på misbrug.
Luk fjernadgang inden for 24 timer
Vi anbefaler, at I straks undersøger, om I har Tenda HG10-routere i brug, og lukker fjernadgang til administrationsgrænsefladen, uanset om der findes en opdatering. Er routeren kun tilgængelig fra det interne netværk, og er adgangskoden unik og stærk, kan I vente kort tid med udskiftning, men bør overvåge for usædvanlig trafik i mellemtiden. Er administrationen tilgængelig fra internettet, bør den lukkes uden at vente på en opdatering fra Tenda.
Tidslinje
Konkrete eksempler
Router som indgang til kontornetværk
En mindre dansk virksomhed bruger en Tenda HG10 som internetrouter og har af bekvemmelighed aktiveret fjernadministration for at kunne supportere den udefra. En angriber finder enheden via en internetscanning, udnytter fejlen i fmgpon_loid-parameteren og får kommandoadgang til routeren. Herfra omdirigeres trafik, og angriberen får indblik i virksomhedens interne netværk, uden at nogen medarbejder har klikket på noget.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger en Tenda HG10-router med firmwareversion 300001138. Tjek routerens administrationsside eller kontakt jeres netværksleverandør for at bekræfte model og version.
Hvordan tjekker vi, om vores router er sårbar?
Log ind på routerens administrationsgrænseflade, og se firmwareversionen under systeminformation. Er versionen 300001138 eller ældre, bør I regne enheden som sårbar, indtil Tenda bekræfter andet.
Kan vi vente til weekenden med at reagere?
Nej, ikke hvis administrationsgrænsefladen er tilgængelig fra internettet. Er den kun tilgængelig internt, kan I vente kort tid, men bør lukke fjernadgang og skifte adgangskoder først.
Skal vi anmelde dette til myndighederne?
Er der tale om konstateret misbrug, hvor persondata er blevet kompromitteret, skal I vurdere anmeldelse til Datatilsynet efter databeskyttelsesreglerne. Er der ingen tegn på misbrug, er det ikke et krav, men det er god praksis at dokumentere jeres tiltag.
Findes der en opdatering fra Tenda?
Der er ikke oplyst en officiel opdatering på offentliggørelsestidspunktet. Følg Tendas supportside, og overvej at udskifte enheden, hvis opdateringen trækker ud.
Hvad gør vi, hvis vi ikke kan lukke fjernadgang?
Kan fjernadgang ikke deaktiveres, bør I begrænse adgangen med IP-filtrering eller en firewallregel, der kun tillader kendte administratorers IP-adresser, og overvåge for usædvanlig login-aktivitet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was identified in Tenda HG10 300001138. Impacted is the function formgponConf of the file /boaform/admin/formgponConf of the component Boa. The manipulation of the argument fmgpon_loid leads to os command injection. Remote exploitation of the attack is possible. The exploit is publicly available and might be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.