Kerngegevens
- Leverancier
- ASUS
- Product
- ASUS Router
- Soort software
- netwerk
- Getroffen versies
- ASUS-routers firmware uit de reeks 3.0.0.6_102 (modellen: zie het advies van ASUS)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 23 oktober 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In een routermodel van ASUS zitten twee fouten die samen gevaarlijk zijn. De router filtert bepaalde invoer niet goed, waardoor commando's op het besturingssysteem kunnen worden uitgevoerd. Ook controleert hij onvoldoende of een verzoek echt van de beheerder komt (CSRF). Een aanvaller kan daardoor via een phishingwebsite commando's laten uitvoeren met rootrechten op de router.
Wie loopt risico?
Je loopt risico als je een ASUS-router gebruikt met firmware uit de reeks 3.0.0.6.102. De aanval werkt alleen als een beheerder die op dat moment is ingelogd op de router, een kwaadaardige website bezoekt. Zonder die handeling van de beheerder lukt de aanval niet. In de gegevens staat niet om welk routermodel het precies gaat, dus kijk in het advies van ASUS of jouw model erbij staat.
Wat moet je doen?
Controleer je router en firmware
Kijk in het beheerscherm van je ASUS-router welk model je hebt en of de firmware uit de reeks 3.0.0.6_102 komt.
Installeer de nieuwste firmware
ASUS raadt alle gebruikers aan de router direct bij te werken naar de nieuwste firmware. Gebruik de updatefunctie in het beheerpaneel of de supportpagina van jouw model op de ASUS-website.
Log uit na het beheren van de router
Blijf niet ingelogd in het beheerscherm terwijl je andere websites bezoekt. Zo kan een phishingwebsite jouw sessie niet misbruiken.
Beperk de blootstelling
Maak het beheerpaneel alleen bereikbaar vanuit je eigen netwerk en zet beheer op afstand (vanaf WAN) uit, zoals ASUS adviseert. Gebruik een sterk, uniek beheerderswachtwoord.
Dezelfde update lost meer lekken op
Dezelfde firmware-update verhelpt ook een lek waarmee iemand op je netwerk met een vervalst toegangsticket beheerder kan worden (CVE-2026-93489, https://lekkenradar.nl/cve/cve-2026-93489/) en een derde lek (CVE-2026-75775).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek combineert een OS-commando-injectie (CWE-78) met cross-site request forgery. Speciale tekens in invoer worden niet goed geneutraliseerd voordat die in een systeemcommando terechtkomt. Doordat verzoeken niet voldoende worden gecontroleerd op echtheid, kan een aanvaller een ingelogde beheerder een vervalst verzoek laten versturen via een phishingwebsite. Het commando wordt uitgevoerd met rootrechten op de router. De aanval verloopt via het netwerk, vereist geen eigen inloggegevens van de aanvaller, maar wel een handeling van de gebruiker. De CVSS 4.0-score is 8,6. Getroffen is firmware uit de reeks 3.0.0.6.102.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale tekens in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee