CVE-2026-86510: Kritisk fejl i D-Link DIR-822A router
Kritisk hul i D-Link DIR-822A routere (CVE-2026-86510) giver fuld overtagelse via netværket. Ingen opdatering findes, udskift eller isolér routeren.
Hvad er det?
Sårbarheden findes i D-Link DIR-822A routere med firmware A_101, i den del af softwaren der læser L2TP-kontrolbeskeder. L2TP er en protokol, der bruges til at opsætte krypterede tunneller, for eksempel til fjernadgang. Funktionen tunnel_set_params håndterer indkommende data forkert, så en for lang eller specielt formet besked skriver uden for det tiltænkte hukommelsesområde. Det kaldes en out-of-bounds skrivning, og det kan bruges til at ændre programmets adfærd eller køre kode, som angriberen har valgt. Fejlen kan udløses over netværket uden fysisk adgang til routeren.
Hvem rammer det?
Alle, der har en D-Link DIR-822A router med firmwareversion A_101 i drift, er ramt. Modellen bruges ofte som primær internetrouter eller adgangspunkt i mindre kontorer, hjemmekontorer og hos privatpersoner, og fungerer typisk også som firewall mellem internettet og det interne netværk. Er routeren tilgængelig fra internettet, eller bruges den til L2TP-forbindelser (for eksempel VPN-opsætninger), er risikoen størst.
Hvad kan ske?
En angriber, der kan sende netværkstrafik til routerens L2TP-funktion, kan udnytte fejlen til at overtage routeren fuldstændigt. Det giver mulighed for at aflytte og omdirigere al trafik, der går igennem routeren, ændre DNS-indstillinger så medarbejdere sendes til falske hjemmesider, og bruge routeren som indgang til det interne netværk bag den. Routeren kan også blive gjort til del af et botnet og bruges i angreb mod andre.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden fysisk adgang, kræver ikke handling fra en bruger, og angriberen behøver kun et lavt niveau af rettigheder for at ramme funktionen. Konsekvensen rammer alle tre områder: fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning. Der findes en offentligt tilgængelig beskrivelse af, hvordan sårbarheden udnyttes, så risikoen for misbrug er reel.
Hvad gør jeg nu?
Da der ikke findes en officiel opdatering til denne sårbarhed, handler det om at begrænse adgangen til routeren og planlægge udskiftning.
- Undersøg om I har en D-Link DIR-822A router med firmware A_101 i drift, både på kontoret og hos medarbejdere med hjemmekontor.
- Sluk for fjernadgang og L2TP-funktionen på routeren, hvis den ikke er strengt nødvendig, og sørg for at administrationsgrænsefladen ikke er tilgængelig fra internettet.
- Flyt routeren bag en anden firewall eller isolér den fra kritiske systemer, indtil den er udskiftet.
- Planlæg udskiftning af routeren med en model, der stadig modtager sikkerhedsopdateringer fra producenten.
- Gennemgå logfiler for usædvanlig trafik mod routerens L2TP-port, hvis det er muligt.
- Kontakt Auroa, hvis I er i tvivl om, hvilke enheder der er ramt, eller hvordan I sikrer netværket midlertidigt.
Ingen opdatering findes, isolér nu
Vi anbefaler, at I straks kortlægger, om der findes D-Link DIR-822A routere i jeres netværk, og at I fjerner dem fra direkte internetadgang, indtil de er udskiftet. Da modellen ikke længere understøttes med sikkerhedsopdateringer, er udskiftning den eneste holdbare løsning. Det er ikke forsvarligt at vente, hvis routeren er tilgængelig fra internettet eller bruges til fjernadgang, fordi der findes en offentlig beskrivelse af, hvordan fejlen udnyttes.
Tidslinje
Konkrete eksempler
Hjemmekontor med gammel router
En mindre revisionsvirksomhed har for flere år siden sat en D-Link DIR-822A op hos en medarbejder, der arbejder hjemmefra og bruger L2TP til at forbinde til kontorets netværk. En angriber finder routeren tilgængelig fra internettet, sender en manipuleret L2TP-besked og får kontrol over enheden. Herfra kan angriberen se al trafik til og fra hjemmekontoret og forsøge at komme videre ind i virksomhedens systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den ramte router?
Log ind på routerens administrationsside, og se under systemoplysninger eller enhedsinformation. Modelnavnet vil stå som DIR-822A, og firmwareversionen vil fremgå som A_101 eller lignende. Er I i tvivl, kan I også kigge på routerens mærkat eller kontakte den, der har opsat netværket.
Kan vi bare vente til weekenden med at gøre noget?
Det frarådes, hvis routeren er tilgængelig fra internettet eller bruges til L2TP-forbindelser. Der findes en offentlig beskrivelse af udnyttelsen, så risikoen for angreb er til stede fra nu af, ikke først i fremtiden.
Findes der en opdatering fra D-Link, vi kan installere?
Der er ikke oplyst nogen officiel rettelse fra D-Link til denne sårbarhed på tidspunktet for offentliggørelsen. Modellen er ældre og betragtes som udtjent i produktcyklussen, hvilket betyder, at man ikke bør regne med en fremtidig opdatering.
Er vi allerede ramt, hvis vi har routeren?
Det kan ikke afgøres uden en konkret undersøgelse af logfiler og netværkstrafik. Har routeren været tilgængelig fra internettet med L2TP aktiveret, bør I gennemgå trafikken for usædvanlige forbindelser og overveje at nulstille og udskifte enheden.
Skal vi anmelde hændelsen, hvis vi opdager misbrug?
Ja, hvis I finder tegn på, at routeren er blevet udnyttet og persondata eller forretningskritiske systemer kan være kompromitteret, bør I vurdere anmeldelse til Datatilsynet efter reglerne om brud på persondatasikkerheden, samt overveje at kontakte CFCS eller politiet afhængigt af omfanget.
Hvad gør vi, hvis vi ikke kan udskifte routeren med det samme?
Sluk fjernadgang og L2TP-funktionen, begræns administrationsadgangen til det lokale netværk, og placér routeren bag en anden firewall, hvis muligt. Det reducerer risikoen midlertidigt, men er ikke en varig løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in D-Link DIR-822A A_101. Affected is the function tunnel_set_params of the component L2TP Control Message Parser. Such manipulation leads to out-of-bounds write. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.