TP-Link TL-WR841N: OS-Command-Injection in der IPv6-WAN-Konfiguration
Zusammenfassung
Der TP-Link TL-WR841N v14, ein 300Mbps-WLAN-Router, enthält eine OS-Command-Injection-Schwachstelle in der IPv6-WAN-Konfiguration. Ein manipulierter IPv6-Gateway-Wert wird ungeprüft in einen Systembefehl übernommen. Ein Angreifer mit Administratorzugang kann beliebige Betriebssystembefehle ausführen, wodurch sensible Informationen offengelegt, Gerätekonfiguration oder Dienste verändert und der Betrieb gestört werden können. Der Angriffsvektor ist benachbart, und ohne gültige Administrator-Zugangsdaten ist die Schwachstelle nicht aus dem Internet ausnutzbar.
Betroffen
- TL-WR841N v14, EN-Firmware 0 bis unter 4.19 Build 260821
- TL-WR841N v14, US-Firmware 0 bis unter 4.19 Build 260820
- Die Standardkonfiguration ist laut Hersteller nicht betroffen.
Behoben in
- Firmware 4.19 Build 260821 (EN) oder neuer
- Firmware 4.19 Build 260820 (US) oder neuer
- Download-Links finden sich auf der Hersteller-Advisory-Seite.
Umgehung
- Es ist kein Workaround des Herstellers bekannt. Unbekannt, ob TP-Link in der vollständigen Advisory einen Übergangsworkaround nennt.
- Standard-Administratorpasswörter ersetzen und die Anzahl der Administratoren einschränken.
- Die Verwaltungsoberfläche nicht über das WAN exponieren und die Fernverwaltung deaktivieren.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Keine bekannte Ausnutzung in freier Wildbahn und nicht im CISA-KEV-Katalog gelistet.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept für diese CVE gefunden.
Unsere Empfehlung
- Alle TL-WR841N-v14-Geräte in der Umgebung identifizieren und den Firmware-Build prüfen.
- Betroffene Geräte so rasch wie möglich auf den korrigierten Build für die jeweilige Region aktualisieren.
- Standard-Administratorzugangsdaten ändern, die Verwaltung auf das LAN beschränken und die Fernverwaltung bis zum Patch deaktivieren.
- Ersatz von End-of-Life-Hardware prüfen, falls kein Update möglich ist.
- Beim Hersteller klären, ob der Fix auch die frühere CVE-2026-3227 im selben Modell abdeckt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TP-Link advisory (FAQ 5320) www.tp-link.com
- TP-Link firmware download (EN) www.tp-link.com
- TP-Link firmware download (US) www.tp-link.com
- TP-Link FAQ 5018 (earlier CVE-2026-3227) www.tp-link.com
- NVD mirror on Vulners vulners.com
- TheHackerWire CVE-2026-102294 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.