CVE-2026-93958: Kritisk fejl i D-Link R95 BE9500-router

En sårbarhed i D-Link-routeren R95 BE9500 med firmware 1.00.16 gør det muligt at indsætte og køre systemkommandoer på enheden. Fejlen ligger i filen /bin/ssi i komponenten DHMAPI, hvor parameteren NTPServer, der bruges til at angive routerens tidsserver, ikke renses for særlige tegn før den sendes videre til styresystemet. Kommandoinjektion betyder, at en angriber kan smugle egne systemkommandoer ind i et felt, der kun burde indeholde en serveradresse. En angriber, der allerede har adgang til routerens administrationsside, kan dermed få enheden til at udføre kommandoer med fuld systemrettighed. Der findes offentligt tilgængelig kode, der demonstrerer angrebet.

Sårbarheden rammer D-Link R95 BE9500-routere med firmwareversion 1.00.16. Det er typisk mindre virksomheder, filialer og hjemmekontorer, der bruger denne model som internetadgang eller wi-fi-punkt. Risikoen er størst, hvis administrationsgrænsefladen kan nås fra internettet eller fra et gæstenetværk, og ikke kun fra det interne, betroede netværk.

Får en angriber adgang til administrationssiden, kan de bruge fejlen til at overtage routeren fuldstændigt. Det giver mulighed for at aflytte og omdirigere netværkstrafik, oprette en fast bagdør til virksomhedens netværk og bruge routeren som springbræt til andre systemer på kontoret. For en dansk virksomhed kan det betyde, at kunde- eller medarbejderdata bliver eksponeret, uden at det opdages, fordi angrebet foregår i netværksudstyr, som sjældent overvåges tæt.

CVSS-scoren er 9,1 af 10, kritisk. Angrebet kan udføres over netværket uden brugerhandling, og det kræver ikke stor teknisk indsigt (lav kompleksitet). Til gengæld kræver det, at angriberen allerede har administratorrettigheder til routerens styringsside (PR:H), for eksempel via stjålne eller standardadgangskoder. Fordi angrebet ændrer omfanget (scope changed), kan konsekvensen række ud over selve routeren og påvirke resten af netværket. Der er offentliggjort kode til at udnytte fejlen, men der er ikke belæg for, at den er set udnyttet i konkrete angreb endnu.

Følg disse skridt for at fjerne eller mindske risikoen, mens I afventer en officiel rettelse fra D-Link:

1. Deaktiver fjernadministration (WAN-adgang) på routeren, så administrationssiden kun kan nås fra det lokale netværk.
2. Skift alle administrator-adgangskoder til stærke, unikke koder, og fjern eventuelle standard- eller ubrugte konti.
3. Tjek D-Links supportside regelmæssigt for en firmwareopdatering, der retter CVE-2026-93958, og installer den, så snart den er tilgængelig.
4. Gennemgå routerens logs for uventede ændringer af NTP-server eller andre konfigurationsindstillinger.
5. Segmentér netværket, så routerens administrationsflade ikke er tilgængelig fra gæste- eller kontornetværk med almindelige brugere.
6. Er routeren en del af kritisk infrastruktur, eller har I ikke selv mulighed for at gennemgå netværksopsætningen, bør I søge hjælp fra en sikkerhedsrådgiver til at isolere og overvåge enheden.