Eine Router-Lücke mit der Note 10 von 10. Und kein Patch.
D-Links Sicherheitshinweis zum DIR-822A trägt die Schwerewertung 10,0. Eine höhere Zahl gibt es nicht.
Die Lücke, CVE-2026-86296, steckt im DHCP-Dienst des Routers, also in dem Teil, der jedem Gerät im Netz eine Adresse zuteilt. Eine einzige schlampige Zeile, ein strcpy-Aufruf in udhcpcd/serverpacket.c, lässt eine übergroße Anfrage über den Puffer hinauslaufen und die Anweisungen eines Angreifers dort ablegen, wo die des Routers stehen sollten. Ein Passwort braucht es nicht. Senden kann das alles, was ohnehin schon im Netz ist, in einem normalen Haushalt also das Handy eines Gastes, eine smarte Steckdose, eine billige Kamera oder ein Notebook, das sich etwas eingefangen hat. Ein zweiter Fehler, CVE-2026-86510, beschädigt den Speicher über den L2TP-Parser des Routers und kommt auf 9,9. Funktionierender Demo-Code liegt für beide öffentlich vor.
D-Link hat den Hinweis SAP10516 am 18. September veröffentlicht und am 21. September aktualisiert, und die Aktualisierung enthält keinen Fix. Das Unternehmen klärt noch, welche Hardware-Revisionen und welche Regionen betroffen sind und ob dieses Modell alt genug ist, dass gar keine Firmware mehr kommt. Die in den Berichten genannte Version ist A_101 auf dem DIR-822A außerhalb der USA. Bis etwas erscheint, ist D-Links eigener Rat der vernünftige: Fernverwaltung abschalten, damit die Administrationsseite aus dem Internet nicht erreichbar ist, und diese Seite aus jedem Netz heraushalten, dem Sie nicht trauen würden.
Das gilt unabhängig davon, welche Marke auf Ihrem Kästchen steht. Melden Sie sich heute am Router an, notieren Sie die Firmware-Version, prüfen Sie, ob die Fernverwaltung eingeschaltet ist, und schauen Sie nach, ob der Hersteller in diesem Jahr überhaupt etwas herausgegeben hat. Ein Router, der seit drei Jahren keine Updates mehr bekommt, ist meist das schwächste Glied im Haus. Tendvanes Netzwerkscan listet jedes Gerät auf, das gerade mit Ihrem Netz verbunden ist, und so fällt Hardware auf, die Sie längst vergessen hatten.