CVE-2026-89009: Kritisk filskrivefejl i Wavlink-routere

CVE-2026-89009 er en sårbarhed i Wavlink-routerne WN535M1 og WN535M3, hvor en indbygget tjeneste kaldet sync_server lytter på TCP-port 13136 uden krav om login. Tjenesten kører med systemets højeste rettigheder, root, og modtager et filnavnsfelt på 100 byte uden at kontrollere, om den angivne sti peger uden for det tilladte område, en fejltype kaldet sti-traversering. Det betyder, at en angriber kan sende en absolut sti, for eksempel til routerens opstartsscript eller adgangskodefil, og få enheden til at overskrive filen med angriberens eget indhold. Resultatet er varig kontrol over routeren.

Sårbarheden rammer Wavlink WN535M1 og WN535M3 routere med firmware ældre end M35M1_V250922. Det drejer sig om trådløse routere, der ofte bruges i mindre kontorer, butikker og hjemmekontorer, herunder hos danske virksomheder, som har placeret enheden som netværksadgangspunkt uden yderligere firewall foran den. Er routerens port 13136 tilgængelig fra internettet eller fra et upålideligt internt netværk, er enheden sårbar.

En angriber, der kan nå port 13136 på routeren, kan overskrive opstartsscripts eller filer med adgangskoder og dermed opnå fuld og varig kontrol over enheden. I praksis kan angriberen omdirigere netværkstrafik, indsætte skadelig kode, der overlever genstart, og bruge routeren som indgang til det interne netværk eller som platform for angreb mod andre mål. For en dansk virksomhed betyder det risiko for aflytning af trafik, kompromittering af andre enheder på netværket og misbrug af routeren i et botnet.

CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ikke login og ingen brugerhandling, og det kan udføres over netværket med lav kompleksitet. Det betyder, at enhver, der kan sende netværkstrafik til routerens port 13136, kan udnytte sårbarheden uden adgangskode og uden at narre en bruger til at klikke på noget. Konsekvensen rammer integritet og tilgængelighed fuldt ud, mens fortrolighed ikke direkte berøres af selve skrive-sårbarheden. Der er ikke oplyst aktiv udnyttelse ved offentliggørelsen, men den lave angrebskompleksitet gør sårbarheden velegnet til automatiserede angreb.

Følgende trin lukker sårbarheden og reducerer risikoen, mens opdateringen udrulles:

1. Opdatér firmware på alle WN535M1- og WN535M3-routere til version M35M1_V250922 eller nyere.
2. Bloker adgang til TCP-port 13136 fra internettet, indtil opdateringen er installeret, ved at justere routerens eller en ekstern firewalls regler.
3. Gennemgå, om routerens administrationsinterface er tilgængelig fra internettet, og luk den adgang, hvis den ikke er nødvendig.
4. Skift adgangskoder til routerens administration efter opdateringen, da en kompromitteret enhed kan have eksponeret dem.
5. Kontrollér, om der er uventede ændringer i opstartsscripts eller konfiguration, som tegn på tidligere misbrug.
6. Kontakt en it-sikkerhedsrådgiver, hvis I har mange enheder i drift, eller hvis I finder tegn på kompromittering, som I ikke selv kan håndtere.