CVE-2026-86299: Kritisk kommandoinjektion i Linksys RE7000

Der er fundet en sårbarhed i Linksys RE7000, en wifi-forstærker der bruges til at udvide dækningen i hjem og mindre kontorer. Fejlen sidder i PingTest-funktionen i enhedens webgrænseflade, nærmere bestemt i filen json.cgi. Funktionen skal lade brugeren teste forbindelsen ved at sende en ping, men parametrene pingTestIp, pingTestPktSize og pingTestTimes bliver ikke renset ordentligt, før de sendes videre til enhedens styresystem. Det gør det muligt at indsætte egne systemkommandoer, en teknik der kaldes kommandoinjektion. Kommandoerne bliver derefter kørt med enhedens egne rettigheder. Sårbarheden er registreret i firmwareversion 2.0.15, og der findes offentligt tilgængelig kode, der viser, hvordan den udnyttes.

Alle virksomheder og hjemmekontorer, der bruger Linksys RE7000 med firmware 2.0.15, er berørt. Det gælder både enheder, der styres via internt netværk, og enheder, hvor administrationsgrænsefladen ved en fejl er tilgængelig fra internettet. Danske SMV’er bruger ofte denne type udstyr til at dække kontorlokaler eller lagerbygninger, hvor den almindelige router ikke rækker.

En angriber, der får adgang til enhedens administrationsgrænseflade med et lavt rettighedsniveau, kan indsætte kommandoer og få fuld kontrol over enheden. Herfra kan angriberen aflytte netværkstrafik, ændre dns-indstillinger så medarbejdere sendes til falske hjemmesider, eller bruge enheden som adgangspunkt videre ind i virksomhedens netværk. Fordi enheden ofte sidder centralt i netværket, kan et angreb bruges som springbræt til servere og arbejdsstationer, der ellers er beskyttet.

Sårbarheden har en CVSS-score på 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerinteraktion, og det kræver kun lave rettigheder, altså en form for begrænset adgang til enhedens webgrænseflade, ikke fuld administratoradgang. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad, fordi angriberen kan læse data, ændre indstillinger og lukke enheden ned. Der findes offentligt kode, der demonstrerer angrebet, men det er ikke bekræftet, at det bliver udnyttet i faktiske angreb endnu.

Der findes ikke en officiel rettelse fra Linksys på nuværende beskrivelsestidspunkt, så I skal reducere angrebsfladen med det samme og følge udviklingen tæt.

1. Sluk for fjernadministration af enheden, så webgrænsefladen kun kan tilgås fra det interne netværk.
2. Skift adgangskoden til enhedens administrationsside, og begræns hvem der har lav og høj adgang.
3. Adskil enheden fra kritiske systemer ved at placere den på et separat netværk eller vlan.
4. Tjek regelmæssigt Linksys’ supportside for firmwareopdatering til RE7000, og opdatér med det samme den udkommer.
5. Overvej at udskifte enheden, hvis den ikke længere modtager sikkerhedsopdateringer.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om enheden er eksponeret mod internettet, eller hvis I mistænker, at den allerede er kompromitteret.