CVE-2026-86296: Kritisk fejl i D-Link DIR-822A ruter
Kritisk sikkerhedshul i D-Link DIR-822A ruter kan udnyttes uden login. Der findes ingen rettelse, kun udskiftning af udstyret.
Hvad er det?
CVE-2026-86296 er en sårbarhed i D-Link DIR-822A med firmwareversion A_101. Fejlen sidder i funktionen udhcpcd, som er en tjeneste der uddeler IP-adresser på netværket via DHCP-protokollen. En bestemt funktion i koden, strcpy, kopierer data uden at kontrollere længden. Det giver en stack-baseret bufferoverløb, hvor en angriber kan overskrive hukommelse ud over det tiltænkte område og dermed køre egen kode på ruteren. Angrebet kan gennemføres over netværket uden login og uden at nogen på ruteren behøver at klikke på noget. Et konkret angrebseksempel er allerede offentliggjort.
Hvem rammer det?
Sårbarheden rammer virksomheder og private, der bruger en D-Link DIR-822A ruter med firmware A_101. Ruteren bruges typisk som internetadgang i mindre kontorer, filialer eller hjemmearbejdspladser. Er ruterens udhcpcd-tjeneste tilgængelig fra internettet eller fra et usikret netværk, er systemet udsat.
Hvad kan ske?
En angriber kan sende specialdesignede netværkspakker til ruteren og opnå fuld kontrol over den, uden at kende brugernavn eller adgangskode. Med kontrol over ruteren kan angriberen aflytte al trafik, der går gennem netværket, omdirigere brugere til falske hjemmesider, eller bruge ruteren som indgang til resten af virksomhedens netværk. For en dansk virksomhed betyder det risiko for tab af kundedata, adgang til interne systemer og i værste fald et brud, der skal anmeldes efter databeskyttelsesreglerne.
Hvor alvorligt er det?
CVSS-score er 10 ud af 10, den højeste mulige. Angrebet kræver ikke login, ingen brugerhandling og kan gennemføres fra internettet med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er offentliggjort et konkret eksempel på, hvordan sårbarheden udnyttes, men vi har ingen oplysninger om, at den aktivt bliver udnyttet i angreb mod danske virksomheder.
Hvad gør jeg nu?
D-Link har ikke udsendt en rettelse til denne sårbarhed. Følgende trin begrænser risikoen, mens I finder en permanent løsning.
- Undersøg om jeres organisation bruger en D-Link DIR-822A ruter, og find frem til firmwareversionen på ruterens administrationsside.
- Fjern ruterens administrations- og DHCP-tjenester fra direkte adgang fra internettet, hvis det ikke allerede er blokeret.
- Placer ruteren bag en anden firewall, eller segmenter netværket, så en kompromitteret ruter ikke giver adgang til resten af virksomhedens systemer.
- Planlæg udskiftning af ruteren med en model, der stadig modtager sikkerhedsopdateringer fra producenten.
- Overvåg netværkstrafik for usædvanlig aktivitet fra eller mod ruteren, indtil den er udskiftet.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at vurdere netværkets opsætning eller gennemføre udskiftningen hurtigt.
Ingen rettelse findes: isolér ruteren nu
Vi anbefaler, at I straks fjerner ruterens tjenester fra åben adgang på internettet og planlægger udskiftning af enheden, da D-Link ikke har udsendt en rettelse. Det er ikke forsvarligt at vente, hvis ruteren er tilgængelig fra internettet, da et konkret angrebseksempel allerede er offentligt. Er ruteren udelukkende brugt internt og afskærmet af en anden firewall, kan udskiftningen planlægges over kortere tid, men bør ikke udskydes ud over få uger.
Tidslinje
Konkrete eksempler
Filial med eksponeret ruter
En dansk mindre virksomhed bruger en D-Link DIR-822A som internetadgang i en filial. Ruterens administrationsgrænseflade er ved en fejl tilgængelig fra internettet. En angriber finder ruteren ved at scanne internettet, udnytter sårbarheden i udhcpcd og opnår fuld kontrol over enheden. Herfra aflytter angriberen trafikken og forsøger at komme videre ind i virksomhedens interne netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte ruter?
Log på ruterens administrationsside og se modelnavn og firmwareversion. Er modellen D-Link DIR-822A med firmware A_101, er I ramt af sårbarheden.
Findes der en opdatering fra D-Link?
Nej. Der er på nuværende oplysningsgrundlag ingen rettelse fra D-Link til denne sårbarhed. Vi anbefaler derfor at begrænse adgangen til ruteren og planlægge udskiftning.
Kan vi vente til weekenden med at gøre noget?
Hvis ruteren er tilgængelig fra internettet, bør I lukke adgangen med det samme, da et angrebseksempel allerede er offentliggjort. Er ruteren kun tilgængelig internt, kan de øvrige trin planlægges over de kommende dage.
Er vi allerede blevet ramt?
Se efter uventet adfærd fra ruteren, som ukendte enheder på netværket, ændrede DNS-indstillinger eller uforklarlig trafik. Er I i tvivl, bør I få en ekstern gennemgang af netværkets logfiler.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I kan konstatere, at sårbarheden faktisk er blevet udnyttet, og at persondata er kompromitteret. Så skal det anmeldes til Datatilsynet efter databeskyttelsesreglerne. Selve sårbarheden alene udløser ikke en anmeldepligt.
Kan vi bare skifte til en anden DHCP-tjeneste for at løse problemet?
Det løser ikke problemet fuldt ud, da sårbarheden ligger i selve ruterens firmware. Den mest sikre løsning er at udskifte ruteren med en model, der modtager sikkerhedsopdateringer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability was determined in D-Link DIR-822A A_101. This vulnerability affects the function strcpy of the file udhcpcd/serverpacket.c of the component udhcpcd. This manipulation causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.