D-Link waarschuwt voor een fout in de DIR-822A waarmee een aanvaller, zonder in te hoeven loggen, willekeurige code op uw router kan uitvoeren. Er is nog geen patch — en er staat al een werkende proof-of-concept online.
D-Link meldt een kritieke kwetsbaarheid in de DIR-822A wifi-router, geregistreerd als CVE-2026-86296. Het gaat om een stack-based buffer overflow in de udhcpd-component van de router — het onderdeel dat DHCP-verzoeken afhandelt, oftewel dat apparaten in huis automatisch een IP-adres geeft. De fout zit specifiek in hoe de router een bepaald DHCP-optieveld (optie 125) met een strcpy-aanroep verwerkt: is de meegestuurde data langer dan verwacht, dan raakt het geheugen op de stack beschadigd. Beveiligingsonderzoekers geven dit lek de maximale CVSS-score van 10.0.
Een aanvaller hoeft niet in te loggen. Zolang hij op hetzelfde (lokale) netwerk zit — bijvoorbeeld via wifi, of vanaf een al besmet ander apparaat in huis — kan hij een kwaadaardig DHCP-pakket naar de router sturen en zo willekeurige code laten uitvoeren. Er is inmiddels ook werkende proof-of-concept (PoC) code publiek beschikbaar, wat het risico op misbruik in de praktijk flink vergroot: iedereen die de PoC vindt, kan het zonder veel kennis zelf uitproberen.
D-Link onderzoekt daarnaast een tweede kwetsbaarheid (CVE-2026-86510): een out-of-bounds write in de verwerking van L2TP-pakketten. De precieze impact hiervan is nog niet duidelijk, maar de aard van de fout (geheugen buiten de bedoelde grenzen beschrijven) is een categorie die vaker tot crashes of code-executie leidt.
D-Link DIR-822A. Bevestigd kwetsbaar is firmwareversie A_101; D-Link onderzoekt nog welke andere versies precies zijn geraakt.
Er is op dit moment geen patch beschikbaar. D-Link heeft nog niet aangegeven of, en wanneer, die komt.
Voor CVE-2026-86296 moet een aanvaller zich al op uw (thuis)netwerk bevinden. Dat kan via een zwak wifi-wachtwoord, of via een ander apparaat op hetzelfde netwerk dat al gecompromitteerd is.
Staat "remote management" aan en is de router vanaf het internet bereikbaar, dan vervalt de eis dat een aanvaller al op uw netwerk moet zitten — dat maakt misbruik aanzienlijk laagdrempeliger.
Zolang er geen firmware-update is, adviseert D-Link — en sluiten wij ons daarbij aan — de volgende maatregelen:
Schakel toegang tot de routerinstellingen vanaf het internet uit. Dit is meestal terug te vinden onder "Remote Management" of "WAN Access" in de routerinstellingen.
Zorg dat de router niet "onnodig" vanaf buiten te benaderen is — geen port-forwarding naar het beheerpaneel, geen UPnP-regels die dat per ongeluk alsnog openzetten.
Beperk waar mogelijk welke apparaten bij de beheerfunctie van de router kunnen — bijvoorbeeld door beheertoegang te scheiden van het gewone (gasten-)wifi-netwerk.
Omdat de kwetsbaarheid vanaf het lokale netwerk misbruikt wordt, is voorkomen dat onbevoegden op uw wifi komen een directe verkleining van het risico.
Zodra er een firmware-update verschijnt, is die de enige echte oplossing — de bovenstaande stappen zijn tijdelijke risicobeperking, geen vervanging van een patch.
Ik loop de instellingen graag met u door en zet de tijdelijke beperkingen goed voor u klaar — desnoods op afstand. Zodra D-Link een firmware-update uitbrengt, installeer ik die ook meteen voor u.