CVE-2026-94099: Kritisk fejl i Netcore NBR200V2-router
Alvorlig fejl i Netcore NBR200V2-routere tillader kommandokørsel uden login. Der findes ingen rettelse, isolér enheden fra internettet.
Hvad er det?
CVE-2026-94099 er en sårbarhed i Netcore NBR200V2, en router til hjemmekontorer og mindre virksomheder fra producenten Netcore. Fejlen sidder i funktionen restore.cgi, som bruges til at genskabe en sikkerhedskopi af routerens indstillinger. Ved at manipulere en del af webadressen kaldet QUERY_STRING kan en angriber få routeren til at udføre vilkårlige kommandoer i styresystemet, en teknik der kaldes kommandoinjektion. Angrebet kan udføres over netværket uden brugernavn, kodeord eller nogen handling fra en bruger.
Hvem rammer det?
Sårbarheden rammer routere af typen Netcore NBR200V2 med firmwareversion 1.3.241127.071246. Enheden bruges typisk som internetrouter i filialer, mindre kontorer og hjemmearbejdspladser. Enheder, hvor administrationsgrænsefladen eller restore.cgi-funktionen kan tilgås fra internettet eller fra et internt netværk, angriberen har fodfæste i, er udsat.
Hvad kan ske?
En angriber, der udnytter fejlen, får fuld kontrol over routeren med systemets egne rettigheder. Det betyder adgang til at aflæse og ændre trafik, der passerer routeren, oprette en permanent bagdør, omdirigere brugere til falske hjemmesider eller bruge routeren som springbræt videre ind i virksomhedens netværk. For en dansk virksomhed kan konsekvensen være aflytning af følsomme oplysninger, ransomware mod interne systemer eller at routeren bliver del af et botnet, der angriber andre.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke login på forhånd ud over lave rettigheder, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Der findes offentligt tilgængelig angrebskode, så enhver kan udnytte fejlen mod en sårbar enhed. Der er ikke rapporteret om udnyttelse i konkrete angreb pr. offentliggørelsesdatoen, men risikoen er høj, fordi koden allerede er offentlig, og producenten ikke har svaret på henvendelsen.
Hvad gør jeg nu?
Producenten har ikke svaret, og der findes ingen officiel rettelse. I skal derfor begrænse risikoen selv.
- Fjern routerens administrationsgrænseflade og restore.cgi-funktionen fra internettet, så den kun kan tilgås fra et betroet internt netværk.
- Undersøg, om jeres organisation bruger Netcore NBR200V2, og notér firmwareversionen på alle enheder.
- Overvej at udskifte enheden med en router fra en producent, der leverer løbende sikkerhedsopdateringer, da Netcore ikke har reageret.
- Gennemgå logfiler for usædvanlig trafik til restore.cgi eller uventede kommandoer i systemloggen.
- Skift adgangskoder til routerens administration og til andre systemer nået via netværket, hvis I mistænker, enheden allerede er kompromitteret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan isolere enheden eller vurdere, om I allerede er ramt.
Isolér enheden fra internettet nu
Vi anbefaler, at I straks fjerner Netcore NBR200V2’s administrationsgrænseflade fra internettet, da der ikke findes en opdatering fra producenten. Er enheden allerede afskærmet fra internettet og kun tilgængelig fra et betroet netværk, kan I vente med at udskifte den til det passer ind i en planlagt udskiftning. Vi fraråder dog generelt at lade enheden stå åben mod internettet, da angrebskoden allerede er offentlig, og producenten ikke har reageret på sårbarheden.
Tidslinje
Konkrete eksempler
Filialkontor med eksponeret router
En dansk virksomhed med flere mindre filialer bruger Netcore NBR200V2 som internetrouter, og administrationsgrænsefladen er ved en fejl tilgængelig fra internettet. En angriber scanner internettet, finder enheden, udnytter restore.cgi-fejlen og får fuld kontrol over routeren. Herfra aflæser angriberen trafik og bruger routeren som indgang til at forsøge sig videre ind i virksomhedens interne netværk.
Ofte stillede spørgsmål
Er vores virksomhed ramt?
I er ramt, hvis I bruger en Netcore NBR200V2-router med firmwareversion 1.3.241127.071246, og administrationsgrænsefladen kan tilgås fra internettet eller fra et netværk, andre end jeres egne medarbejdere har adgang til.
Hvordan tjekker vi, om vores router er sårbar?
Log ind på routerens administrationsside og se firmwareversionen under systemoplysninger. Kontrollér desuden, om routerens webgrænseflade er tilgængelig fra internettet ved at teste adgang udefra eller gennemgå jeres firewallregler.
Kan vi vente til weekenden med at gøre noget?
Nej. Da angrebskoden allerede er offentligt tilgængelig, og der ikke findes en rettelse, bør I fjerne enheden fra internettet, så snart det er praktisk muligt, i stedet for at vente til en planlagt driftsvindue.
Findes der en opdatering fra Netcore?
Nej. Producenten blev kontaktet tidligt om sårbarheden, men har ikke reageret, og der foreligger ingen officiel rettelse pr. offentliggørelsesdatoen.
Kan vi bare bruge en firewallregel i stedet for at udskifte routeren?
Det begrænser risikoen betydeligt, hvis I lukker adgang til administrationsgrænsefladen og restore.cgi fra internettet. Det løser dog ikke det grundlæggende problem, og vi anbefaler stadig at planlægge udskiftning af enheden, da producenten ikke leverer rettelser.
Skal vi anmelde hændelsen?
Det er kun nødvendigt, hvis I konstaterer, at enheden faktisk er blevet udnyttet, og persondata eller andre følsomme oplysninger er kompromitteret. I så fald skal I vurdere, om hændelsen skal anmeldes til Datatilsynet efter reglerne om databrud.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in Netcore NBR200V2 1.3.241127.071246. This issue affects some unknown processing of the file restore.cgi of the component Backup Restore. Performing a manipulation of the argument QUERY_STRING results in command injection. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.