Kerngegevens
- Leverancier
- ASUS
- Product
- ASUS Router
- Soort software
- netwerk
- Getroffen versies
- ASUS-routers firmware uit de reeks 3.0.0.6_102 (modellen: zie het advies van ASUS)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 23 oktober 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In bepaalde modules van ASUS-routers zit een fout in de controle van wie je bent. Iemand in de buurt van de router kan een HTTP-verzoek sturen en daarmee een toegangsticket namaken. Met dat valse ticket kan die persoon beheerdersacties uitvoeren, zonder in te loggen.
Wie loopt risico?
Je loopt risico als je een ASUS-router uit de getroffen reeks 3.0.0.6_102 gebruikt. De aanvaller moet wel in de buurt zijn, bijvoorbeeld op hetzelfde netwerk, maar hoeft geen account of hulp van jou te hebben. In de gegevens staat niet dat het lek actief wordt misbruikt of dat er publieke aanvalscode is.
Wat moet je doen?
Controleer je router
Kijk in het beheerpaneel van je ASUS-router welk model je hebt en of de firmware uit de reeks 3.0.0.6_102 komt.
Installeer de nieuwste firmware
ASUS raadt alle gebruikers aan de router direct bij te werken naar de nieuwste firmware. Die vind je via de updatefunctie in het beheerpaneel, of op de supportpagina van jouw model op de ASUS-website.
Kun je niet direct bijwerken?
ASUS adviseert dan: gebruik sterke, unieke wachtwoorden voor het beheerpaneel en de wifi (minstens 10 tekens), maak het beheerpaneel alleen bereikbaar vanuit je eigen netwerk en zet beheer op afstand (vanaf WAN) uit, en laat geen onbekende apparaten op je netwerk of wifi toe.
Ruim onbekende koppelingen op
Verwijder onbekende gekoppelde apparaten en sessies van de ASUS-app uit de routerinstellingen, en herstart de router nadat je de firmware hebt bijgewerkt.
Dezelfde update lost meer lekken op
Dezelfde firmware-update verhelpt ook een commando-injectie via CSRF (CVE-2026-75779, https://lekkenradar.nl/cve/cve-2026-75779/) en een derde lek (CVE-2026-75775).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om onjuiste authenticatie (CWE-287) in modules van ASUS-routerfirmware. Een niet-geauthenticeerde aanvaller kan via een speciaal HTTP-verzoek een toegangsticket vervalsen. Daarna accepteert de router beheerdersoperaties met dat ticket. De aanvalsroute is aangrenzend (AV:A): de aanvaller moet in het lokale of nabije netwerk zitten. Er is geen gebruikersinteractie of voorafgaande inlog nodig. De CVSS 4.0-score van 8,7 is afkomstig van de CNA en wijst op een grote impact op vertrouwelijkheid, integriteit en beschikbaarheid van de router.
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee