Kurzfassung
Für DrayTek-Geräte sind zwei kritische Schwachstellen öffentlich dokumentiert: CVE-2026-71914 betrifft VigorAP-Modelle, CVE-2026-71933 VigorSwitch-Modelle. Beide Lücken lassen sich aus der Ferne ausnutzen. Im einen Fall droht Codeausführung mit Root-Rechten, im anderen unautorisierte Konfigurations- und Verwaltungsaktionen.
Wer DrayTek im Netz hat, sollte die betroffenen Geräte jetzt identifizieren und die Herstellerhinweise prüfen. Für DACH-Unternehmen ist das vor allem dann relevant, wenn VigorAP als WLAN-Infrastruktur oder VigorSwitch als Zugangs- und Core-Switch eingesetzt wird. Dann steckt die Schwachstelle mitten im Produktionsnetz.
Was ist passiert?
Die erste Meldung, CVE-2026-71914, beschreibt eine Command-Injection-Lücke im Bestandteil dray_apm von mehreren DrayTek VigorAP-Modellen. Der Auslöser ist eine unzureichende Prüfung von UDP-Inhalten nach START_SPEED_TEST, bevor Befehle ausgeführt werden. Ein Angreifer kann dafür präparierte Nachrichten schicken und damit Kommandos mit Root-Rechten ausführen.
CVE-2026-71933 betrifft mehrere DrayTek VigorSwitch-Modelle. Hier fehlen in verschiedenen Syslog-Funktionen die Autorisierungsprüfungen. Ein entfernter Angreifer kann dadurch unter anderem Konfigurationen ändern, Dienste neu starten, die Startup-Konfiguration speichern oder Logs löschen. Das ist kein kosmetischer Fehler. Wer einen Switch kontrolliert, kontrolliert oft auch den Blick ins Netz.
Technische Details
CVE-2026-71914 ist besonders heikel, weil der Angriff ohne lokale Nähe möglich ist und der betroffene Prozess Befehle mit hohen Rechten ausführt. Die Schwachstelle sitzt laut Beschreibung in der Verarbeitung von UDP-Nachrichten. Der kritische Punkt ist also nicht das Testmodul selbst, sondern die mangelhafte Eingangsprüfung vor der späteren Kommandoausführung.
Bei CVE-2026-71933 geht es weniger um direkte Codeausführung als um fehlende Zugriffskontrolle. Das reicht in der Praxis trotzdem weit. Ein Angreifer kann Systeme umkonfigurieren, Betriebszustände stören und Spuren entfernen. Gerade das Löschen von Logs ist für die Nachverfolgung nach einem Vorfall unangenehm, weil es die Analyse erschwert und Reaktionszeiten verlängert.
Beide Schwachstellen sind mit CRITICAL eingestuft. Ob alle Modellreihen und Firmwarestände betroffen sind, geht aus der vorliegenden Information nicht hervor. Der Hersteller nennt hier nur, dass mehrere Modelle betroffen sind.
Wer ist betroffen?
Betroffen sind Organisationen und Privatanwender, die DrayTek VigorAP oder VigorSwitch einsetzen. Im deutschsprachigen Unternehmensumfeld dürfte das vor allem Mittelstand, Filialnetze, kleinere Behörden und Managed-Services-Umgebungen treffen. Besonders sensibel ist das dort, wo WLAN-Access-Points oder Switches zentral administriert werden und aus dem Managementnetz erreichbar sind.
Für private Nutzer ist die Relevanz meist geringer, weil diese Geräte typischerweise im Unternehmensumfeld stehen. Wer aber einen DrayTek-Switch oder -Access-Point im Homeoffice oder in einer kleinen Praxis betreibt, sollte die Lage genauso ernst nehmen. Die Angriffsfläche entsteht nicht durch Größe, sondern durch Erreichbarkeit.
Empfohlene Maßnahmen
Admins sollten zuerst das Inventar prüfen: Welche VigorAP- und VigorSwitch-Modelle laufen im Netz, und welche Firmware-Versionen sind installiert? Danach folgt die Gegenprobe gegen die Hersteller- und NVD-Hinweise. Wenn ein Patch verfügbar ist, hat er Vorrang vor allem anderen. Kein Umweg über Wartungsfenster, wenn das Gerät direkt aus dem Netz erreichbar ist.
Bis zur Behebung helfen nur saubere Übergangsschritte. Managementzugriffe auf administrative Netze begrenzen, Geräte nicht unnötig aus anderen Segmenten erreichbar machen und Fernzugriffe schließen, wo sie nicht gebraucht werden. Syslog- und Konfigurationsänderungen überwachen. Bei Verdacht auf Ausnutzung: Gerät isolieren, Konfiguration sichern, Logs extern prüfen und den Vorfall wie einen echten Incident behandeln.
Wer DrayTek über einen Dienstleister betreibt, sollte jetzt nachfragen, ob die betroffenen Modelle im Bestand sind und ob bereits ein Rollout geplant ist. Warten auf den nächsten Patchday ist hier keine gute Idee.
Einschätzung von CyberSecurity-News.de
Die Lage ist klar und unangenehm. Zwei kritische Schwachstellen in Netzwerkinfrastruktur sind immer mehr als ein Randthema, weil sie den Verkehr vieler Systeme berühren. Bei VigorAP geht es um mögliche Root-Ausführung, bei VigorSwitch um Eingriffe in die Betriebsführung und um das Wegputzen von Spuren. Das ist für Angreifer attraktiv.
Die Informationslage bleibt trotzdem dünn. Die Meldung nennt mehrere Modelle, aber keine vollständige Produkt- oder Firmware-Matrix. Genau das macht den praktischen Alltag zäh. Admins müssen nun selbst prüfen, ob ihre Geräte betroffen sind, statt sich auf eine klare Abgrenzung verlassen zu können. Solche Lücken gehören besser dokumentiert, gerade wenn sie als kritisch eingestuft sind.
Alarmismus hilft hier nicht. Wer DrayTek im Netz hat, sollte nüchtern handeln: Bestandsaufnahme, Update, Härtung, Überwachung. Für alle anderen bleibt die Meldung ein Hinweis darauf, wie schnell ein Access Point oder Switch vom Infrastrukturbaustein zum Angriffsvektor wird.
Fazit
CVE-2026-71914 und CVE-2026-71933 sind ernst zu nehmen. Die erste Schwachstelle kann Remote-Code-Ausführung mit Root-Rechten ermöglichen, die zweite unautorisierte Aktionen auf Switches. Beides gehört in die Prioritätsstufe für den nächsten Wartungsschritt, nicht auf die lange Bank.
Wer DrayTek-Geräte betreibt, sollte jetzt prüfen, ob diese Modelle im Netz stehen, und die Firmwarelage sofort klären. Je näher die Geräte an produktiven Segmenten hängen, desto höher ist der Handlungsdruck.
