Scroll to top
    Zurück zum Blog
    IT-Sicherheit · Router-Firmware · Update verfügbar

    Root-Lücken in OpenWrt geschlossen: Router-Updates jetzt nicht aufschieben

    Router sind die Haustür ins Netzwerk. OpenWrt schließt mit den Releases 24.10.7 und 25.12.5 mehrere Schwachstellen – darunter Kernel-Lücken, die unter bestimmten Voraussetzungen bis auf Root-Rechte führen können.

    01.07.2026 9 min Lesezeit
    OpenWrt Router-Sicherheitslücken – jetzt Update einspielen
    Teilen
    WhatsApp
    Telegram
    Facebook
    Kurz-Antwort

    Ja – jetzt updaten. Wer OpenWrt einsetzt, sollte auf 24.10.7 oder 25.12.5 aktualisieren. Beide Releases schließen mehrere sicherheitsrelevante Fehler in Kernel, DNS/DHCP und Weboberfläche. Zusätzlich läuft 24.10 im September 2026 aus – Umstieg auf 25.12 planen.

    Warum ausgerechnet Router-Lücken so kritisch sind

    OpenWrt ist keine gewöhnliche Router-Software. Technisch versierte Nutzer, kleine Unternehmen, IT-Dienstleister und Hersteller setzen darauf, weil sie mehr Kontrolle, mehr Funktionen und längere Nutzbarkeit älterer Hardware ermöglicht. Diese Flexibilität ist aber auch ein Risiko: Wer OpenWrt betreibt, ist selbst dafür verantwortlich, Sicherheitsupdates zeitnah einzuspielen.

    Viele Nutzer schauen regelmäßig auf Windows-Updates, Server-Patches oder Antivirus-Meldungen. Der Router läuft dagegen häufig jahrelang im Hintergrund – genau dort entsteht das Risiko.

    Was wurde konkret geschlossen?

    In OpenWrt 24.10.7 stecken unter anderem zwei Linux-Kernel-Schwachstellen, die unter bestimmten Bedingungen eine lokale Rechteausweitung bis Root ermöglichen. Dazu kommen Korrekturen in dnsmasq und mehreren TLS-/Krypto-Bibliotheken.

    CVE-2026-43284
    „Dirty Frag“
    Bereich: Linux-Kernel · IPsec/ESP
    Impact: Lokale Rechteausweitung (LPE)
    Trigger: Aktiv, wenn IPsec-Module (kmod-ipsec, esp4/esp6) geladen sind
    CVE-2026-31431
    „Copy Fail“
    Bereich: Linux-Kernel · Crypto-Subsystem
    Impact: Lokale Rechteausweitung (LPE)
    Trigger: Bestimmte Targets & Systeme mit kmod-crypto-user
    dnsmasq · TLS · Krypto
    „Sammel-Patches“
    Bereich: dnsmasq, OpenSSL, musl libc
    Impact: DNS-/DHCP-Manipulation, Zertifikatsprobleme
    Trigger: Zentrale Router-Dienste – de facto jede Installation
    dnsmasq ist auf vielen Routern ein zentraler Dienst – er übernimmt DNS- und DHCP-Aufgaben. Eine Schwachstelle dort trifft nicht irgendein Randmodul, sondern einen Kernbereich des Heim- oder Firmennetzwerks.
    OpenWrt Router: Was ist passiert? Übersicht der Sicherheitslücken und Handlungsempfehlungen

    Übersicht: Was gefunden wurde, was im schlimmsten Fall passieren kann und was zu tun ist.

    Warum „Root“ auf einem Router so gefährlich ist

    Root bedeutet auf Linux-Systemen volle Kontrolle. Auf einem Router heißt das nicht nur „Einstellungen ändern“ – es bedeutet im schlimmsten Fall Kontrolle über Datenverkehr, DNS-Anfragen, Firewall-Regeln, VPN-Verbindungen, Portfreigaben und interne Weiterleitungen.

    Ein kompromittierter Router wird zum stillen Angreifer im Netzwerk. Er muss keine Daten direkt verschlüsseln wie klassische Ransomware. Es reicht, wenn er Verbindungen umlenkt, DNS-Antworten manipuliert oder als Sprungbrett dient.

    DNS-Umleitung
    Angreifer leiten Anfragen still auf gefälschte Server um – Phishing-Seiten wirken echt.
    Traffic mitschneiden
    Unverschlüsselte Verbindungen und Metadaten lassen sich am Router protokollieren.
    VPN kompromittieren
    Kontrolle über den Router bedeutet Kontrolle über VPN-Konfigurationen und Portfreigaben.
    Sprungbrett ins LAN
    Ein Root-Router ist der ideale Ausgangspunkt für Lateral Movement in interne Systeme.

    OpenWrt 24.10 läuft aus – September 2026

    OpenWrt 24.10 ist bereits im Security-Maintenance-Modus. Es kommen im Wesentlichen nur noch Sicherheitspatches. Das geplante Ende der Sicherheitsunterstützung liegt bei September 2026. Wer OpenWrt produktiv einsetzt, sollte perspektivisch auf OpenWrt 25.12 wechseln.

    Router, VPN-Gateways, Gäste-WLANs, Standortvernetzungen und Spezial­hardware müssen geplant aktualisiert werden – nicht erst kurz vor Ablauf.

    OpenWrt 25.12.5 – Fixes in Standarddiensten

    OpenWrt 25.12.5 geht weiter und schließt mehrere aus der Nähe des Netzwerks auslösbare Schwachstellen in zentralen Diensten. Betroffen sind unter anderem:

    • odhcpd (DHCPv6/RA)
    • uhttpd (Weboberfläche)
    • LuCI (Web-UI)
    • OpenSSL
    • musl libc
    • dropbear (SSH)

    Diese Dienste sind nicht tief versteckt – sie sind genau die Bausteine, die ein Router im Alltag braucht. Fehler dort können bereits aus dem lokalen Netz, Gäste-WLAN oder angrenzenden Segmenten gefährlich werden.

    OpenWrt Sicherheit: Update schützt dich – Was war los, warum ist das kritisch, was wurde gemacht
    root@openwrt:~#
    # 1) aktuelle Version prüfen
cat /etc/openwrt_release
# 2) Paketlisten aktualisieren & Kandidaten anzeigen
opkg update
opkg list-upgradable
# 3) Konfigurations-Backup erstellen
sysupgrade -b /tmp/backup-$(date +%F).tar.gz
# 4) Firmware-Image über den OpenWrt Firmware Selector laden
#    → https://firmware-selector.openwrt.org
#    → Zielversion 24.10.7 oder 25.12.5
# 5) Update einspielen (Konfiguration behalten)
sysupgrade -v /tmp/openwrt-25.12.5-<target>-sysupgrade.bin

    Nach dem Update prüfen

    • Ist die Weboberfläche aus dem Internet erreichbar? → abschalten
    • Ist SSH aus dem WAN erreichbar? → falls nicht zwingend nötig: deaktivieren
    • Alte Benutzer / schwache Passwörter entfernen
    • UPnP nur aktivieren, wenn wirklich benötigt
    • Gäste-WLAN sauber vom internen Netz trennen
    • Backup der Router-Konfiguration erstellen
    • OpenWrt-Version prüfen – 24.10 endet im September 2026

    Wasacon-Perspektive

    Die geschlossenen OpenWrt-Lücken sind kein Grund zur Panik, aber ein klarer Grund zum Handeln. Router sind keine Geräte, die man einmal einrichtet und dann vergisst – sie sind aktive Sicherheitskomponenten. Wer OpenWrt einsetzt, bekommt ein mächtiges und flexibles System. Diese Freiheit bringt Verantwortung mit sich: Updates prüfen, Zusatzpakete bewusst auswählen, alte Versionen rechtzeitig ablösen.

    Gerade weil OpenWrt häufig auf zentralen Netzwerkgeräten läuft, gilt: Ein ungepatchter Router ist kein kleines Technikproblem. Er kann im Ernstfall der erste Schritt in ein kompromittiertes Netzwerk sein.

    Quellen
    OpenWrt Release-Notes (GitHub) – 24.10.7 & 25.12.5OpenWrt Firmware Selector

    Häufige Fragen

    Konkret OpenWrt 24.10.7 und OpenWrt 25.12.5. 24.10.7 schließt unter anderem die Kernel-Lücken „Dirty Frag“ (CVE-2026-43284) und „Copy Fail“ (CVE-2026-31431). 25.12.5 behebt zusätzlich mehrere aus dem Netzwerk auslösbare Schwachstellen in odhcpd, uhttpd, LuCI, OpenSSL, musl libc und dropbear.

    Nicht jede einzelne Lücke betrifft jede Installation, aber mehrere Patches wirken auf zentrale Dienste (DHCP, Web-UI, DNS, SSH). Die richtige Schlussfolgerung lautet deshalb nicht „vermutlich nicht betroffen“, sondern: Version prüfen und aktualisieren.

    Root bedeutet volle Kontrolle über Datenverkehr, DNS, Firewall, VPN und Portfreigaben. Ein kompromittierter Router kann Verbindungen umlenken, Zugangsdaten mitschneiden oder als Sprungbrett in interne Systeme dienen – ohne dass klassische Endpoint-Security etwas sieht.

    Ja. Vor jedem Firmware-Update sollten Sie ein Konfigurations-Backup erstellen (System → Backup / Flash Firmware). Prüfen Sie außerdem, ob Ihre installierten Zusatzpakete (LuCI-Apps, VPN, Tailscale, Samba, UPnP) mit der Zielversion kompatibel sind.

    OpenWrt 24.10 ist im Security-Maintenance-Modus – es kommen im Wesentlichen nur noch Sicherheitspatches. Das geplante Ende der Sicherheitsunterstützung liegt bei September 2026. Wer produktiv OpenWrt einsetzt, sollte den Umstieg auf 25.12 planen und nicht erst kurz vor Ablauf reagieren.
    Unsicher, ob deine Router-Firmware aktuell ist?
    Wasacon prüft Firmware-Stand, Netz-Segmentierung und Fernzugriffe im Kreis Heinsberg.
    Kontakt aufnehmenIT-Sicherheit & Datenschutz

    Mehr aus der Themenwelt Router-, Linux- & Firmware-Sicherheit

    Aktuelle Schwachstellen in Betriebssystemen und Netzwerkinfrastruktur – mit Patch-Ständen und Sofortmaßnahmen.

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten
    IT-Sicherheit

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten

    Kritische Apache-Lücke CVE-2026-119618 in HTTP/2 (Versionen 2.4.55–2.4.70, mögliches RCE). Sofortmaßnahme, Patch-Stand und was Ubuntu-Server jetzt tun sollten.

    12.11.20264 min
    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe
    IT-Sicherheit

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe

    Am 13. Oktober 2026 informiert die CDU Itzehoe über einen Sicherheitsvorfall in ihrer Managed Nextcloud. Angreifer konnten nach bisherigen Angaben sämtliche gespeicherten Dateien herunterladen – Kontakte, Mitgliedsdaten, interne Dokumente, möglicherweise Beitrags- und Bankdaten. Was der Fall für gemanagte Clouds heißt.

    12.11.202613 min
    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen
    IT-Sicherheit

    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen

    Am 1. Oktober 2026 entdecken die Hamburger Grünen bei einer Routineprüfung einen automatisierten Angriff auf ihren Mailserver. Mitgliedsdatenbank und Dateiserver bleiben unberührt, Hinweise auf einen Datenabfluss gibt es zunächst nicht. Was der Fall für geteilte IT in Parteien und Unternehmen heißt.

    12.11.202613 min

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen