CVE-2026-93742: Kritisk kommandoinjektion i Totolink A3002MU

CVE-2026-93742 er en sårbarhed i routeren Totolink A3002MU med firmwareversion Hh-B20211125.1046. Fejlen sidder i funktionen formWsc, som håndterer parameteren localPin i webgrænsefladen. Fordi routeren ikke renser input korrekt, kan en angriber indsætte egne systemkommandoer, der bliver kørt direkte på enheden. Dette kaldes kommandoinjektion, hvor angriberen udnytter et program, der videresender brugerinput til styresystemet uden kontrol. Fejlen kan udløses over netværket, og kode til at udnytte den er allerede offentliggjort.

Sårbarheden rammer alle, der har en Totolink A3002MU-router med firmware Hh-B20211125.1046 opsat med adgang til webadministrationen, herunder ofte fra internettet. Det gælder typisk mindre kontorer, filialer og hjemmearbejdspladser, hvor denne routertype bruges som netværksgateway. Er webgrænsefladen tilgængelig udefra, er risikoen størst, men også interne netværk kan rammes, hvis en angriber først har fået fat i en anden enhed på samme netværk.

En angriber, der udnytter sårbarheden, kan få fuld kontrol over routeren og køre vilkårlige kommandoer med de rettigheder, enheden selv har. I praksis betyder det, at angriberen kan aflæse og ændre netværkstrafik, omdirigere brugere til falske hjemmesider, installere skadelig software på routeren eller bruge den som springbræt ind i virksomhedens interne netværk. For en dansk virksomhed kan det ende med kompromitteret adgang til interne systemer, aflytning af følsomme data eller at routeren indgår i et botnet, der bruges til at angribe andre.

CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden brugerinteraktion, og angrebskompleksiteten er lav. Der kræves lav grad af rettigheder, hvilket typisk betyder, at en angriber skal have en form for begrænset adgang til routerens webgrænseflade, for eksempel som gæstebruger, før kommandoinjektionen kan udnyttes. Konsekvensen ved udnyttelse er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der findes offentligt tilgængelig kode til at udnytte fejlen, men det er ikke bekræftet, at den udnyttes aktivt i angreb på tidspunktet for offentliggørelsen.

Da der ikke er oplyst en officiel opdatering fra Totolink, skal I fokusere på at begrænse adgangen til enheden, mens I afklarer situationen.

1. Sluk for fjernadministration af routerens webgrænseflade, så den ikke kan tilgås fra internettet.
2. Begræns adgang til webgrænsefladen til et betroet administrationsnetværk eller specifikke IP-adresser via firewallregler.
3. Undersøg, om Totolink har udgivet en nyere firmwareversion til A3002MU, og opdatér, hvis det er muligt.
4. Skift alle administratoradgangskoder på enheden og fjern unødvendige brugerkonti.
5. Overvej at udskifte enheden, hvis producenten ikke længere understøtter modellen med sikkerhedsopdateringer.
6. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres netværkskonfiguration er eksponeret, eller hvis I har brug for hjælp til at segmentere netværket.