CVE-2026-113390

CVE-2026-113390 betrifft eine OS Command Injection Schwachstelle in der CGI-Schnittstelle des DrayTek Vigor2960 Routers, spezifisch in der Funktion sub_182B0 der Datei /cgi-bin/mainfunction.cgi. Durch Manipulation der Argumente usefile/usescript/option kann ein Angreifer beliebige Betriebssystembefehle ausführen. Dies ermöglicht eine vollständige Kompromittierung des Geräts. Die Schwachstelle ist remote ausnutzbar und ein Exploit ist öffentlich verfügbar. Die Schwachstelle wird mit einem CVSS-Score von 9.9 (CRITICAL) bewertet, was auf ein extrem hohes Risiko hinweist. Obwohl die Exploit-Wahrscheinlichkeit (EPSS) mit 2% relativ niedrig ist, ist die aktive Ausnutzbarkeit und die Veröffentlichung eines Exploits besorgniserregend. Da der Hersteller angibt, dass das betroffene Produkt (Vigor2960) das End-of-Support-Datum erreicht hat, sind keine offiziellen Patches mehr zu erwarten. Security-Teams sollten betroffene DrayTek Vigor2960 Geräte umgehend identifizieren und aus dem Netzwerk entfernen oder isolieren. Eine Migration auf unterstützte Hardware ist dringend empfohlen, da keine weiteren Sicherheitsupdates bereitgestellt werden.