Yamaha NWR100: OS-Command-Injection in der Verarbeitung von Web-GUI-Anfragen
Zusammenfassung
Die Firmware des Yamaha-WLAN-Routers NWR100 bis Rev.26.00.07 enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein Angreifer kann durch eine speziell gestaltete Anfrage an das Gerät beliebige Betriebssystembefehle ohne Authentifizierung ausführen. Die Web-GUI muss für den Angreifer erreichbar sein, zum Beispiel von einem Gerät im LAN oder WLAN aus, da sie standardmässig nicht aus dem Internet erreichbar ist.
Betroffen
- Yamaha NWR100 Firmware Rev.26.00.07 und älter
- Andere Yamaha-Router, UTM-Appliances, WLAN-Access-Points und L2/L3-Switches sind laut Yamaha nicht betroffen
Behoben in
- Firmware Rev.26.00.08 (behebt CVE-2026-97854 und CVE-2026-109822)
Umgehung
- Zugriff auf die Web-GUI mit Zugriffskontrollen und Filterung nach Quell-IP-Adressen einschränken (Empfehlung des Herstellers für Geräte, die nicht sofort aktualisiert werden können)
- Portweiterleitungen zur Web-GUI entfernen
- Administrator-Zugangsdaten ändern
Ausnutzung
- Laut OffSeq ist keine Ausnutzung in freier Wildbahn bekannt
- VulDB meldet keinen bekannten Exploit
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
Unsere Empfehlung
- Alle NWR100-Geräte und deren Firmware-Versionen inventarisieren
- Betroffene Geräte prioritär auf Rev.26.00.08 oder neuer aktualisieren
- Falls sich das Update verzögert, Zugriff aus dem Internet und über Portweiterleitungen auf die Web-GUI deaktivieren und diesen auf vertrauenswürdige LAN-Geräte beschränken
- Logs auf unerwartete Administrator-Anmeldungen oder Konfigurationsänderungen prüfen
- NVD, JVN und CISA KEV auf Aktualisierungen prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JPCERT/CC JVNVU#91027179 jvn.jp
- Yamaha RT Series Security FAQ (Japanese) www.rtpro.yamaha.co.jp
- VulDB CVE-2026-97854 vuldb.com
- OffSeq Radar CVE-2026-97854 radar.offseq.com
- Strix AI CVE-2026-97854 www.strix.ai
- ThreatInt CVE-2026-97854 cve.threatint.com
- The Hacker Wire CVE-2026-97854 www.thehackerwire.com
- WhatGotPwned whatgotpwned.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.