Kurzfassung

Für die Wavlink-Modelle WN531P3 und WN535M1 in der Version V250922 liegt eine kritische Schwachstelle vor. Angreifer können sie aus der Ferne ausnutzen. Besonders heikel: Ein öffentlich verfügbarer Exploit ist bereits bekannt.

Für Betreiber heißt das: Wer diese Geräte produktiv einsetzt, sollte den Bestand sofort prüfen und das Risiko als akut behandeln. Für private Anwender mit diesen Modellen gilt dasselbe. Ohne Gegenmaßnahme bleibt das Gerät im Zweifel ein offenes Einfallstor.

Was ist passiert?

Die Lücke steckt in einer CGI-Funktion für Export- und Ping-/Trace-Anfragen. Über einen manipulierten Wert im HTTP-Cookie kann ein Speicherüberlauf im Stack ausgelöst werden. Das reicht in der Praxis oft schon für Abstürze, je nach Angriffsweg aber auch für Codeausführung mit höherer Wirkung.

Die Schwachstelle trägt die Kennung CVE-2026-74843 und wird als kritisch eingestuft. Die Quelle nennt außerdem, dass der Hersteller früh informiert wurde und der Exploit öffentlich vorliegt. Das ist die ungünstige Kombination: bekannte Schwachstelle, erreichbarer Angriffsweg, verwertbarer Code.

Technische Details

Betroffen ist laut Quelle die Datei /etc/lighttpd/www/cgi-bin/export_pingortrace.cgi im Baustein Export Pingortrace CGI. Auslöser ist die Funktion strcpy, die bei falscher Eingabe keinen sicheren Puffergrenzschutz bietet. Wird der HTTP_COOKIE-Wert gezielt manipuliert, kann es zu einem Stack-basierten Buffer Overflow kommen.

Die Angriffsrichtung ist remote. Der Angreifer muss also nicht am Gerät sitzen. Ob Authentifizierung nötig ist, nennt die Quelle nicht. Auch ob weitere Firmware-Stände außer V250922 betroffen sind, bleibt offen. Genau diese Lücken machen die Lage für Admins unbequem: Man weiß genug, um handeln zu müssen, aber nicht genug, um abzuwarten.

Wer ist betroffen?

Direkt betroffen sind laut Quelle die Wavlink-Geräte WN531P3 und WN535M1 mit der Version V250922. Mehr nennt die Quelle nicht. Ob weitere Firmware-Revisionen, andere Regionen oder OEM-Varianten ebenfalls verwundbar sind, bleibt unklar.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn solche Geräte in kleinen Büros, Filialen, Testumgebungen oder an Randstandorten laufen. Gerade dort verschwinden Router und Access Points gern aus dem Blick. Ein vergessenes Gerät mit Web- oder CGI-Funktion ist dann oft die leichtere Beute als die zentrale Firewall.

Empfohlene Maßnahmen

Als Erstes: Inventur machen. Wer Wavlink-Hardware einsetzt, sollte Modell und Firmware-Version sofort prüfen. Gerätelabel, Admin-Oberfläche, Konfig-Backup oder Dokumentation helfen dabei schneller als jede Suche im Netzwerk.

Dann zählt Priorisierung. Betroffene Geräte müssen vom Netz, wenn kein Patch verfügbar ist oder der Hersteller noch keinen belastbaren Fix nennt. Wenn ein Update existiert, sollte es umgehend eingespielt werden. Danach gehört das Gerät neu gestartet und die Erreichbarkeit der betroffenen CGI-Funktion geprüft, soweit das im Betrieb möglich ist.

Bis zur Klärung helfen nur harte Maßnahmen: Management-Zugriff auf interne Netze begrenzen, Web-Interface nicht ins Internet stellen, unnötige Dienste abschalten und Logs auf verdächtige Requests prüfen. Wer den Cookie-Parameter in Requests ungewöhnlich oft oder in auffälliger Länge sieht, sollte genauer hinschauen. Bei exponierten Geräten ist außerdem eine Segmentierung sinnvoll, damit ein möglicher Kompromiss nicht gleich das restliche Netz mitzieht.

Einschätzung von CyberSecurity-News.de

Die Lage ist klar kritisch, aber nicht komplex. Genau das macht sie gefährlich. Eine remote ausnutzbare Overflow-Lücke in einem Netzwerkgerät ist kein theoretisches Laborproblem, sondern ein klassischer Einstiegspunkt für Angriffe auf schlecht gepflegte Randgeräte.

Positiv ist nur wenig: Der Hersteller wurde früh informiert. Dass der Exploit schon öffentlich kursiert, verschärft das Risiko jedoch spürbar. In solchen Fällen hilft kein Abwarten auf die nächste Sammelmeldung. Wer die betroffenen Wavlink-Modelle betreibt, sollte heute noch prüfen, ob ein Update verfügbar ist oder ob das Gerät vorübergehend vom Netz muss.

Fazit

CVE-2026-74843 betrifft zwei Wavlink-Routermodelle und ermöglicht einen Angriff aus der Ferne über eine Schwachstelle in einer CGI-Funktion. Der öffentliche Exploit macht die Sache drängend. Für Betreiber heißt das: Bestand prüfen, Gerät absichern, Patchstand verifizieren.

Wenn die betroffenen Geräte am Rand des Netzes hängen, sind sie oft schwerer zu überwachen als zentrale Systeme. Genau dort entsteht das Risiko. Wer hier nicht schnell handelt, lässt einen bekannten Angriffspfad offen.

Quellenangabe

National Vulnerability Database (NVD): CVE-2026-74843