Manche Sicherheitslücken bekommen irgendwann einen Patch. Bei CVE-2026-108804 ist das anders: Die betroffenen TRENDnet-Router sind seit 2011 nicht mehr im Hersteller-Support — ein Fix wird es nicht mehr geben, egal wie kritisch die Lücke ist. Und kritisch ist sie: volle 10,0 von 10,0 auf der CVSS-Skala, in allen Versionen von CVSS 2.0 bis 4.0 gleichermaßen.
EIN CGI-SCRIPT MIT ZU VIEL VERTRAUEN
Betroffen sind die Modelle TEW-751DR, TEW-752DRU und TEW733GR mit den Firmware-Versionen 1.03B01 und 1.03B03. Der Fehler sitzt in der Web-Verwaltungsoberfläche, genauer in der Funktion fwrite der Datei pigwidgeon.cgi. Wird der Parameter service manipuliert, führt das Gerät die eingeschleusten Befehle direkt auf Betriebssystem-Ebene aus — eine klassische OS-Command-Injection (CWE-78/CWE-77). Der Angriff lässt sich komplett aus der Ferne ausführen, ganz ohne Login, und ein funktionierender Exploit ist bereits öffentlich auf GitHub dokumentiert.
DER HERSTELLER ZUCKT MIT DEN SCHULTERN
Besonders aufschlussreich ist die Reaktion von TRENDnet, die in der offiziellen Schwachstellen-Dokumentation zitiert wird: „As this router was EOL’d in 2011, we have no way of testing if such vulnerability exists. We will notify our customers of a potential vulnerability on this product.“ Übersetzt: Der Hersteller kann die Lücke nicht einmal mehr testen, weil die nötige Infrastruktur für ein 15 Jahre altes Produkt längst abgebaut ist. Immerhin verspricht TRENDnet, betroffene Kunden zu informieren — einen Patch gibt es trotzdem nicht.
WARUM DAS TROTZDEM JEDEN TREFFEN KANN
Uralte Router verschwinden selten so schnell, wie man denkt. Sie landen als Zweitgerät im Gästenetz, als Repeater im Keller, gebraucht bei Nachbarn oder einfach vergessen in einer Ecke des Netzwerkschranks weiter im Einsatz. Wer eines dieser drei Modelle noch betreibt und dabei auch nur versehentlich den Verwaltungszugang aus dem Internet erreichbar gemacht hat — etwa über eine unbedacht aktivierte Fernwartung oder eine Portweiterleitung — bietet Angreifern einen vollständig unauthentifizierten Zugriff auf das gesamte Gerät, inklusive allem, was dahinter im Heimnetz hängt.
WAS DU JETZT TUN KANNST
Da ein offizieller Fix ausgeschlossen ist, bleibt nur der Umgang mit dem Risiko selbst:
- Prüfen, ob eines der drei Modelle noch im eigenen Netz aktiv ist — auch als vergessenes Zweitgerät.
- Die Verwaltungsoberfläche niemals aus dem Internet erreichbar machen, Fernwartung und Portweiterleitungen für das Gerät deaktivieren.
- Besser: das Gerät komplett ersetzen und durch aktuell unterstützte Hardware mit laufenden Sicherheitsupdates ablösen.
- Falls ein Austausch nicht sofort möglich ist, das Gerät in ein eigenes, isoliertes VLAN ohne Zugriff auf sensible Geräte verschieben.