Op 20 oktober 2026 zijn in één keer 8 lekken gepubliceerd in de webbeheerinterface van de DrayTek Vigor2960, firmware 1.5.1.6 Revision 8218. Het gaat om commando-injectie en path traversal in onderdelen van /cgi-bin/mainfunction.cgi. Voor alle lekken is een account op het apparaat nodig, al zijn het lage rechten. Er is geen actief misbruik gemeld, maar voor een deel van de lekken is de werkwijze openbaar. DrayTek noemt de Vigor2960 end-of-support en heeft voor deze meldingen geen eigen beveiligingsadvies gepubliceerd.
- 8 lekken met ernst hoog of kritiek
- 1 kritiek, 7 hoog
- 0 actief misbruikt
Wat moet je doen?
Werk bij naar firmware 1.5.1.7
DrayTek heeft in die versie volgens eigen zeggen veel beveiligingsproblemen opgelost. Uit de gegevens blijkt niet per lek met zekerheid dat het daarmee verholpen is.
Sluit het webbeheer af voor internet
Alle lekken zitten in de webinterface. Sta beheer alleen toe vanaf een vertrouwd, intern netwerk of via een VPN.
Controleer accounts
Een aanvaller heeft een account nodig. Verwijder accounts die je niet gebruikt en gebruik sterke, unieke wachtwoorden.
Plan vervanging
Het apparaat krijgt nog maar beperkt ondersteuning. Vervang het door een ondersteund model als je het langer wilt gebruiken.
Uitgewerkt op LekkenRadar
- CVE-2026-113389: commando-injectie via webbeheer (set_table) (8,6)
Alle lekken
Lekken zonder eigen pagina linken naar de NVD.
| CVE | Ernst | Wat is het |
|---|---|---|
| CVE-2026-113390 | Kritiek 9,9 | Commando-injectie in de CGI-interface |
| CVE-2026-113389 | Hoog 8,6 | Commando-injectie in set_table |
| CVE-2026-113391 | Hoog 8,6 | Commando-injectie in een uploadfunctie |
| CVE-2026-113392 | Hoog 7,4 | Path traversal in Apmupload |
| CVE-2026-113394 | Hoog 7,4 | Path traversal in setSWMProfile |
| CVE-2026-113395 | Hoog 7,4 | Path traversal in swmconfigupload |
| CVE-2026-113396 | Hoog 7,4 | Commando-injectie in rename_table |
| CVE-2026-113397 | Hoog 7,4 | Commando-injectie in het IPsec-onderdeel (certificaataanvraag) |
Bronnen
- NVD: CVE-2026-113389 (en de andere CVE’s in de tabel)