CVE-2026-86509: Kritisk fejl i D-Link DIR-895L router

Der er fundet en alvorlig sårbarhed i D-Link routeren DIR-895L, firmwareversion A1_102b07 (CVE-2026-86509). Fejlen ligger i komponenten udhcpcd, som routeren bruger til at tildele netværksadresser til enheder. Konkret er der et stack-based buffer overflow, en fejl hvor et program skriver mere data ind i en midlertidig hukommelsesblok end der er plads til, hvilket kan overskrive kontrolinformation og give en angriber mulighed for at afvikle egen kode på routeren. Fejlen findes i funktionerne sendOffer og sendACK i filen serverpacket.c. Der findes allerede en offentliggjort metode til at udnytte fejlen.

Sårbarheden rammer D-Link DIR-895L routere med firmware A1_102b07. Denne model bruges ofte som primær WiFi-router eller gateway i mindre virksomheder, foreninger og private husstande, herunder på gæstenetværk hos danske virksomheder og kommunale institutioner. Er routeren i drift, uanset om den bruges som hovedrouter eller sekundært netværksudstyr, er I potentielt berørt.

En angriber, der har adgang til det samme lokale netværk som routeren, for eksempel via WiFi eller et forbundet gæstenetværk, kan udnytte fejlen til at overtage kontrollen med routeren. Det kan betyde, at angriberen kan aflæse og ændre trafik, omdirigere brugere til falske hjemmesider ved at manipulere DNS-opsætningen, eller bruge routeren som springbræt videre ind i virksomhedens interne netværk. For en dansk virksomhed kan det ende med tab af data eller adgang til systemer, der ellers regnes for interne og beskyttede.

Sårbarheden har en CVSS-score på 9,6 ud af 10 og er vurderet kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, men angriberen skal have adgang til det lokale netværk, ikke internettet direkte. Det gør angrebsfladen mindre end ved rene internetvendte sårbarheder, men et gæstenetværk, en kompromitteret enhed på kontoret eller en åben WiFi gør adgangen let at opnå. Der findes en offentliggjort udnyttelsesmetode, hvilket øger risikoen for, at fejlen bliver brugt aktivt.

Følgende trin bør gennemgås i prioriteret rækkefølge:

1. Undersøg om I har en D-Link DIR-895L med firmware A1_102b07 i drift, og tjek D-Links hjemmeside for en opdateret firmwareversion, der lukker hullet.
2. Findes der ingen opdatering, isolér routeren fra andre netværk, sluk fjernadministration og begræns adgang til det lokale netværk mest muligt.
3. Adskil gæstenetværk fra interne systemer, så en kompromitteret router ikke giver direkte adgang til virksomhedens data.
4. Overvej udskiftning af routeren, da modellen er ældre og muligvis ikke længere modtager sikkerhedsopdateringer fra producenten.
5. Gennemgå logfiler for usædvanlig trafik eller genstarter på routeren, som kan tyde på forsøg på udnyttelse.
6. Er I i tvivl om, hvorvidt jeres netværk er berørt, eller mangler I ressourcer til at gennemføre segmentering og opdatering, bør I søge ekstern hjælp til gennemgang af netværksudstyret.