Acer Wave-7-Router: Zwei ungepatchte Zero-Days mit CVSS 10 – Backdoor-Zugriff ohne Authentifizierung möglich
Zwei kritische Zero-Day-Schwachstellen in Acer Wave-7-Routern erlauben Angreifern ohne Authentifizierung vollständigen Netzwerkzugriff – ein Patch existiert noch nicht, Acer plant ein Firmware-Update erst für Ende Juni 2026.
Sicherheitsforscher Gergo Pap hat zwei kritische Zero-Day-Schwachstellen in Acer Wave-7-Routern öffentlich gemacht, die beide mit dem höchstmöglichen CVSS-Score von 10.0 bewertet werden. CVE-2026-49200 und CVE-2026-49201 ermöglichen Angreifern ohne jede Authentifizierung, vollständige Kontrolle über betroffene Geräte zu erlangen. Zum Zeitpunkt der Veröffentlichung existiert kein Firmware-Patch; Acer hat ein Update für Ende Juni 2026 angekündigt.
Die Schwachstellen im Detail
CVE-2026-49200 beschreibt eine fehlerhafte Zugriffssteuerung (Broken Access Control) im Webinterface der Acer Wave-7-Router. Ein nicht authentifizierter Angreifer kann darüber Klartext-Zugangsdaten direkt aus dem Verwaltungsinterface auslesen – ohne vorherige Anmeldung oder Kenntnis eines Passworts. Die Schwachstelle ist remote ausnutzbar und erfordert keinerlei Benutzerinteraktion.
CVE-2026-49201 betrifft einen hardcodierten, eingebetteten AES-Schlüssel in der Firmware. Dieser Schlüssel ermöglicht es Angreifern, System-Backups der Router gezielt zu manipulieren und dabei dauerhaften Backdoor-Zugang in das Gerät einzuschleusen. Da der Schlüssel fest in der Firmware verankert ist, lässt er sich ohne Firmware-Update nicht entfernen oder ändern. Beide Schwachstellen wurden von Gergo Pap koordiniert an Acer gemeldet und offengelegt.
| CVE | Typ | CVSS | Angriff |
|---|---|---|---|
| CVE-2026-49200 | Broken Access Control – Klartext-Credentials | 10.0 | Remote, unauthentifiziert |
| CVE-2026-49201 | Hardcodierter AES-Schlüssel – Backdoor-Injektion | 10.0 | Remote, unauthentifiziert |
Bin ich betroffen?
Betroffen sind alle Acer Wave-7-Router, auf denen die Firmware-Version T7c_GBL_1.01.000055 oder eine ältere Version läuft. Die aktuelle Firmware-Version lässt sich im Webinterface des Routers unter den Systemeinstellungen bzw. Geräteinformationen ablesen. Wer einen Acer Wave-7-Router im Einsatz hat und die genannte oder eine ältere Firmware-Version verwendet, ist akut gefährdet.
Besonders kritisch ist die Lage, wenn das Remote-Management des Routers aktiviert und über das Internet erreichbar ist. In diesem Fall ist ein Angriff ohne jegliche Vorabkenntnis von außen möglich. Auch Geräte, die nur im internen Netzwerk betrieben werden, sind gefährdet, sobald ein Angreifer Zugang zum lokalen Netz erlangt.
Wie lässt sich das beheben?
Ein offizieller Patch von Acer ist zum Stand der Veröffentlichung nicht verfügbar. Das Unternehmen hat angekündigt, ein Firmware-Update bis Ende Juni 2026 bereitzustellen. Bis dahin sind folgende Sofortmaßnahmen dringend empfohlen:
- Remote-Management deaktivieren: Das Verwaltungsinterface des Routers darf nicht über das Internet erreichbar sein. Remote-Zugriff in den Router-Einstellungen vollständig abschalten.
- Zugriff auf vertrauenswürdige IP-Adressen beschränken: Das Webinterface ausschließlich aus dem lokalen Netzwerk oder über klar definierte, vertrauenswürdige IP-Adressen zugänglich machen.
- Firmware-Update sobald verfügbar einspielen: Sobald Acer das angekündigte Update bereitstellt, ist eine sofortige Installation zwingend erforderlich.
- Netzwerkverkehr überwachen: Ungewöhnliche Zugriffe auf das Webinterface oder verdächtige Backup-Operationen protokollieren und untersuchen.
Wie sich Firewalls und Zugriffsregeln auf Netzwerkebene grundlegend absichern lassen, zeigt die Anleitung zur pfSense/OPNsense-Firewall-Erstkonfiguration. Wer den Fernzugriff auf Netzwerkgeräte absichern möchte, findet in der Anleitung zu WireGuard VPN für Homeoffice und Standortvernetzung einen geeigneten Ansatz, der Remote-Management über öffentliche Netze überflüssig macht.
Was bedeutet das für Unternehmen?
Router sind das Eingangstor eines jeden Netzwerks. Zwei gleichzeitig vorhandene Schwachstellen mit dem höchstmöglichen CVSS-Score 10.0 – kombiniert mit dem Fehlen eines Patches – stellen eine außergewöhnlich ernste Bedrohungslage dar. CVE-2026-49200 liefert Angreifern sofort verwertbare Zugangsdaten; CVE-2026-49201 ermöglicht darüber hinaus, dauerhaften, schwer zu entdeckenden Backdoor-Zugriff zu verankern.
Unternehmen, die Acer Wave-7-Geräte als Perimeter-Router, Branch-Gateway oder für den Homeoffice-Einsatz verwenden, müssen unmittelbar handeln. Das Risiko einer vollständigen Netzwerkübernahme ist real und ohne technische Hürde für Angreifer erreichbar. Die empfohlenen Sofortmaßnahmen – insbesondere das Deaktivieren des Remote-Managements – reduzieren die Angriffsfläche erheblich, beseitigen die Schwachstelle jedoch nicht dauerhaft. Der angekündigte Firmware-Patch muss nach Verfügbarkeit unverzüglich eingespielt werden.
IT-Verantwortliche sollten außerdem prüfen, ob betroffene Geräte in der Vergangenheit bereits exponiert waren, und im Zweifelsfall alle aus diesen Geräten verwalteten Zugangsdaten als kompromittiert betrachten und austauschen.
Quellen: BleepingComputer: Acer working to patch max severity zero-days in Wave 7 routers | CybersecurityNews: Acer Patch Wave 7 Router 0-Day Vulnerability | SC Media: Acer addresses critical zero-day vulnerabilities in Wave 7 routers
