CVE-2026-94098: Kritisk fejl i Netcore NBR200V2-router

CVE-2026-94098 er en sårbarhed i Netcore NBR200V2-routere, der gør det muligt at injicere kommandoer til routerens styresystem. Kommandoinjektion betyder, at en angriber kan få routeren til at udføre egne systemkommandoer i stedet for den funktion, den var beregnet til. Fejlen sidder i endepunktet /www/cgi-bin/upgrade, som bruges til at opgradere routerens firmware. Ved at manipulere en del af den webadresse, der sendes til dette endepunkt, kan en angriber få routeren til at afvikle vilkårlige kommandoer. Der findes offentligt tilgængelig kode, som demonstrerer, hvordan sårbarheden udnyttes.

Sårbarheden rammer Netcore NBR200V2-routere med firmwareversion 1.3.241127.071246. Netcore er en kinesisk producent af netværksudstyr, og NBR200V2 sælges typisk som en enkel internetrouter til mindre kontorer og hjemmekontorer. Er en sådan router en del af jeres netværksudstyr, for eksempel som gæstenetværk, opsætning på en filial eller hos en fjernarbejdende medarbejder, er I berørt.

En angriber, der allerede har administratoradgang til routerens webgrænseflade, kan bruge sårbarheden til at overtage routeren fuldstændigt. Det giver mulighed for at aflytte og omdirigere al trafik, der går gennem enheden, installere skadelig software på routeren eller bruge den som springbræt videre ind i jeres netværk. For en dansk virksomhed betyder det, at et kompromitteret administratorlogin på en enkelt router kan udvikle sig til et fuldt netværksbrud.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket og kræver ingen handling fra en bruger. Til gengæld kræver det, at angriberen allerede har høje rettigheder, altså er logget ind som administrator på routeren. Det begrænser antallet af mulige angribere, men da mange enheder stadig kører med standardadgangskoder eller genbrugte login-oplysninger, er tærsklen i praksis lav. Der findes offentligt tilgængelig udnyttelseskode, men der er ikke rapporteret om aktiv udnyttelse i naturen på offentliggørelsestidspunktet.

Der findes ingen officiel rettelse fra Netcore, så I skal reducere risikoen med kompenserende tiltag.

1. Skift straks administratoradgangskoden på alle NBR200V2-routere til en unik, stærk adgangskode, der ikke bruges andre steder.
2. Deaktivér fjernadministration, så webgrænsefladen og firmwareopgraderingsfunktionen kun kan tilgås fra det interne netværk.
3. Undersøg, om routeren overhovedet skal have internetvendt administrationsadgang, og luk porten, hvis den ikke er nødvendig.
4. Isolér routeren i eget netværkssegment, så en eventuel overtagelse ikke giver direkte adgang til resten af netværket.
5. Overvej at udskifte enheden, da leverandøren ikke har reageret på henvendelser om sårbarheden og ikke har varslet en rettelse.
6. Kontakt ekstern sikkerhedsrådgivning, hvis I har flere Netcore-enheder i drift eller er i tvivl om, hvordan administrationsadgangen bedst afgrænses.