CVE-2026-45158: Command Injection in OPNsense Firewall
Platform
linux
Component
opnsense
Opgelost in
26.1.8
CVE-2026-45158 is een kritieke kwetsbaarheid voor command injection in OPNsense Firewall. Door ongezuiverde gebruikersinput door te geven aan het DHCP configuratiescript van de interface, kunnen aanvallers remote code uitvoeren als root op het onderliggende besturingssysteem. De kwetsbaarheid treft versies 26.1.0 tot en met < 26.1.8. Een fix is beschikbaar in versie 26.1.8.
Impact en Aanvalsscenarios
De impact van deze command injection kwetsbaarheid is extreem hoog. Een succesvolle exploitatie stelt een aanvaller in staat om willekeurige code uit te voeren met root privileges op de OPNsense firewall. Dit kan leiden tot volledige controle over de firewall, compromittering van de netwerkinfrastructuur, data-exfiltratie, en het lanceren van aanvallen op andere systemen binnen het netwerk. De firewall fungeert dan als een springplank voor verdere aanvallen. Dit is vergelijkbaar met de impact van andere command injection kwetsbaarheden die root toegang mogelijk maken.
Uitbuitingscontext
Deze kwetsbaarheid is kritiek en vereist onmiddellijke aandacht. Er is momenteel geen publieke exploitatie bekend, maar de kwetsbaarheid is relatief eenvoudig te exploiteren. De EPSS score is waarschijnlijk hoog. De kwetsbaarheid is gepubliceerd op 2026-05-13. Controleer de NVD en CISA websites voor updates over actieve campagnes.
Dreigingsinformatie
Exploit Status
CISA SSVC
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
- Attack Complexity
- Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
- Privileges Required
- Hoog — beheerder of geprivilegieerd account vereist.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Gewijzigd — aanval kan voorbij het kwetsbare component uitbreiden naar andere systemen.
- Confidentiality
- Hoog — volledig verlies van vertrouwelijkheid. Aanvaller kan alle gegevens lezen.
- Integrity
- Hoog — aanvaller kan alle gegevens schrijven, aanpassen of verwijderen.
- Availability
- Hoog — volledige crash of uitputting van resources. Totale denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gereserveerd
- Gepubliceerd
- Gewijzigd
Mitigatie en Workarounds
De primaire mitigatie is het upgraden naar OPNsense Firewall versie 26.1.8 of hoger. Als een directe upgrade niet mogelijk is, beperk dan de toegang tot de DHCP configuratiepagina tot vertrouwde gebruikers. Implementeer een Web Application Firewall (WAF) om potentiële command injection pogingen te detecteren en te blokkeren. Controleer de firewall configuratie op ongebruikelijke wijzigingen of verdachte processen. Na de upgrade, controleer de firewall logs op tekenen van pogingen tot exploitatie.
Hoe te verhelpenwordt vertaald…
Actualice su instalación de OPNsense a la versión 26.1.8 o posterior para mitigar esta vulnerabilidad. La actualización corrige la falta de sanitización de la entrada del usuario en la configuración DHCP, previniendo la ejecución remota de código.
Veelgestelde vragen
Wat is CVE-2026-45158 — Command Injection in OPNsense Firewall?
CVE-2026-45158 is een kritieke kwetsbaarheid in OPNsense Firewall waardoor aanvallers remote code kunnen uitvoeren als root.
Ben ik getroffen door CVE-2026-45158 in OPNsense Firewall?
U bent getroffen als u OPNsense Firewall gebruikt in versie 26.1.0 tot en met < 26.1.8.
Hoe los ik CVE-2026-45158 in OPNsense Firewall op?
Upgrade naar OPNsense Firewall versie 26.1.8 of hoger.
Wordt CVE-2026-45158 actief misbruikt?
Er is momenteel geen publieke exploitatie bekend, maar de kwetsbaarheid is eenvoudig te exploiteren.
Waar kan ik het officiële OPNsense advisory voor CVE-2026-45158 vinden?
Raadpleeg de OPNsense website en security advisories voor de meest recente informatie.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...