Zwei Lücken, zwei Router, ein gemeinsamer Nenner: Beide kassieren die höchstmögliche CVSS-Bewertung von 10,0 — und beide sind ohne jede Anmeldung aus der Ferne ausnutzbar. Betroffen sind zwei Modelle des Netzwerkherstellers Netcore, veröffentlicht wurden beide Lücken am 28. und 29. September 2026. Ein offizieller Patch fehlt für beide bislang komplett.
LÜCKE 1: Der NTP-Server-Eintrag als Einfallstor
CVE-2026-101076 betrifft den Router Netcore NR289-GE in Firmware-Version 1.4.5102. Der Fehler steckt in der Datei /set_ntp_server_ip.cgi: Das Argument ntp_ip, mit dem sich normalerweise der Zeitserver des Geräts einstellen lässt, wird ungeprüft an die Systemfunktion system weitergereicht. Wer statt einer echten Serveradresse präparierte Befehle einschleust, lässt den Router diese Befehle direkt als Betriebssystem-Kommandos ausführen — ganz ohne Anmeldung.
Die Bewertung liegt bei CVSS 3.1: 10,0 (Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) beziehungsweise CVSS 4.0: 9,3. Nach Angaben der Schwachstellen-Datenbank vuldb.com ist zu dieser Lücke bereits öffentlicher Exploit-Code im Umlauf.
LÜCKE 2: Netzwerk-Werkzeuge ohne Filter
CVE-2026-102240 trifft ein zweites Modell, den Netcore NAP930 mit Firmware 0.1.241010.141410. Auch hier ist der Mechanismus fast identisch: Die Datei /www/cgi-bin/network_tools verarbeitet den Parameter sid über eine eval-Funktion, ohne die Eingabe vorher zu prüfen. Wer dort Systembefehle statt eines erwarteten Werts einschleust, bekommt Root-Rechte auf dem Gerät — ebenfalls komplett ohne Zugangsdaten oder API-Schlüssel.
Auch diese Lücke erreicht die volle CVSS-Wertung von 10,0. Ob bereits öffentlicher Exploit-Code kursiert, wird in den vorliegenden Quellen widersprüchlich dargestellt — sicher ist aber, dass die technische Hürde für einen Angriff denkbar niedrig liegt.
DER GEMEINSAME NENNER: Niemand antwortet
Bei beiden Lücken gilt dieselbe unangenehme Fußnote: Die Sicherheitsforscher haben Netcore vor der Veröffentlichung kontaktiert — eine Reaktion des Herstellers blieb in beiden Fällen aus. Weder für den NR289-GE noch für den NAP930 existiert bislang eine offizielle Firmware, die die jeweilige Lücke schließt.
WARUM DAS AUCH DICH BETRIFFT, WENN DU KEINEN NETCORE-ROUTER HAST
Router und Access Points wie diese landen selten nur bei Einzelpersonen im heimischen Netz — sie werden oft in größerer Stückzahl von Internetanbietern oder Systemhäusern ausgerollt, teils unter eigenem Markennamen. Ein Gerät, das aus dem offenen Internet erreichbar und ohne Login angreifbar ist, wird binnen Tagen von automatisierten Scannern gefunden und kann Teil eines Botnetzes werden — mit Folgen für alle, gegen die ein solches Botnetz dann eingesetzt wird, nicht nur für den Betreiber selbst.
SO SCHÜTZT DU DICH — OHNE OFFIZIELLEN PATCH
- Modell und Firmware prüfen: Läuft bei dir ein NR289-GE oder ein NAP930, unter Umständen auch unter einem anderen Markennamen? Version in der Weboberfläche nachsehen.
- Fernzugriff sofort abschalten: Die Verwaltungsoberfläche darf unter keinen Umständen aus dem offenen Internet erreichbar sein — nur aus dem eigenen Netzwerk.
- Betroffene Funktionen deaktivieren: Wo möglich, die NTP-Konfiguration beziehungsweise die Netzwerk-Werkzeuge-Seite im Verwaltungsmenü ausschalten oder durch eine vorgelagerte Firewall-Regel blockieren.
- Langfristig: Da der Hersteller auf Meldungen nicht reagiert, ist ein Austausch gegen ein aktiv gepflegtes Gerät die verlässlichste Lösung.
FAZIT: Schweigen ist auch eine Antwort
Zwei Lücken mit der höchstmöglichen Bewertung wären für sich genommen schon ernst genug. Dass beide ohne jede Reaktion des Herstellers bleiben, macht die Sache schlimmer: Wer ein solches Gerät betreibt, kann sich nicht einmal auf ein kommendes Update verlassen. Bei Netzwerkgeräten ohne aktiven Hersteller-Support hilft am Ende nur eine Grundregel, die sich seit Jahren nicht ändert: Verwaltungsoberflächen gehören niemals ungeschützt ins offene Netz.