Zyxel warnt vor kritischer Router-Schwachstelle
Mehr als ein Dutzend Modelle für Remote-Angriffe anfällig
Der taiwanesische Netzwerkgerätehersteller Zyxel hat eine schwerwiegende Sicherheitslücke in über einem Dutzend seiner Routermodelle für Endverbraucher bekannt gegeben. Die Schwachstelle, geführt unter der Kennung CVE-2024-40891, ermöglicht es Angreifern, ohne Authentifizierung beliebige Befehle aus der Ferne auszuführen. Mit einem CVSS-Score von 8,8 gilt sie als „hoch“ und stellt ein erhebliches Risiko für Privathaushalte und kleine Unternehmen dar.
Besonders problematisch ist der Zeitpunkt der Veröffentlichung: Viele der betroffenen Geräte haben bereits das Ende ihres Lebenszyklus (End-of-Life, EoL) erreicht. Für diese Modelle stellt Zyxel keine Sicherheitsupdates mehr bereit und empfiehlt stattdessen den Austausch durch neuere Geräte. Diese Praxis ist in der Branche üblich, stößt jedoch bei Verbrauchern und Sicherheitsexperten zunehmend auf Kritik.
Remote-Code-Execution ohne Authentifizierung: Warum die Lücke so gefährlich ist
Die Schwachstelle befindet sich in der webbasierten Verwaltungsschnittstelle der Router. Durch speziell präparierte HTTP-Anfragen können Angreifer Befehle auf Betriebssystemebene einschleusen und ausführen. Besonders kritisch ist, dass hierfür weder Benutzername noch Passwort erforderlich sind.
Solche Remote-Code-Execution-Schwachstellen (RCE) gehören zu den gefährlichsten Fehlerklassen. Ein kompromittierter Router kann:
- den gesamten Netzwerkverkehr überwachen oder manipulieren,
- Nutzer auf Phishing- oder Malware-Seiten umleiten,
- DNS-Einstellungen verändern,
- als Teil eines Botnetzes für DDoS-Angriffe missbraucht werden,
- als Einstiegspunkt für weitere Angriffe auf interne Geräte dienen.
Da Router die zentrale Schnittstelle zwischen Internet und Heim- bzw. Firmennetzwerk bilden, ist ein erfolgreicher Angriff besonders folgenschwer.
Betroffene Modelle und ihre Verbreitung
Zyxel nennt unter anderem folgende anfällige Modelle:
VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A, SBG3300 und SBG3500.
Viele dieser Geräte wurden von Internetdienstanbietern als vorkonfigurierte Kundenrouter ausgegeben. Nutzer wissen daher häufig nicht genau, welches Modell sie einsetzen. Da Router typischerweise über viele Jahre betrieben werden, ist von einer großen installierten Basis auszugehen.
Kein Patch für EoL-Geräte: Branchenpraxis sorgt für Kritik
Zyxel begründet den Verzicht auf Patches mit dem abgelaufenen Supportzeitraum der Geräte. Kunden wird empfohlen, auf aktuelle Modelle umzusteigen, um weiterhin Sicherheitsupdates zu erhalten.
Kritiker bemängeln, dass funktionierende Hardware dadurch faktisch vorzeitig ersetzt werden muss. Befürworter der Praxis verweisen hingegen auf die wirtschaftliche Unmöglichkeit, alte Geräte unbegrenzt zu unterstützen. Diese Debatte gewinnt angesichts wachsender IoT-Risiken zunehmend an Bedeutung.
Angriffe beginnen oft innerhalb von Stunden
Sicherheitsforscher berichten, dass nach Veröffentlichung der Schwachstelle bereits Scan-Aktivitäten im Internet beobachtet wurden. Dieses Verhalten folgt einem bekannten Muster: Sobald Details zu kritischen Router-Lücken öffentlich werden, durchsuchen automatisierte Tools und Botnetze das Internet gezielt nach verwundbaren Geräten.
Botnetze wie Mirai und ihre Varianten sind darauf spezialisiert, schlecht gesicherte Router zu kompromittieren und für groß angelegte Angriffe zu missbrauchen. Ein ungepatchter Router mit aktivierter Fernverwaltung gilt dabei als besonders leichtes Ziel.
Was Sie jetzt tun sollten
Wenn Sie eines der betroffenen Modelle verwenden, sollten Sie umgehend handeln:
- Fernverwaltung deaktivieren
Schalten Sie den Zugriff auf die Web-Administrationsoberfläche aus dem Internet (WAN) ab. - Erreichbarkeit prüfen
Stellen Sie sicher, dass die Router-Oberfläche nicht öffentlich erreichbar ist. Ihr Internetanbieter kann hierbei unterstützen. - UPnP und unnötige Dienste deaktivieren
Reduzieren Sie die Angriffsfläche, indem Sie automatische Portfreigaben abschalten. - DNS-Einstellungen kontrollieren
Manipulierte DNS-Server können auf kompromittierte Router hinweisen. - Hardware-Austausch planen
Da keine Sicherheitsupdates zu erwarten sind, ist der Wechsel zu einem unterstützten Gerät die einzige nachhaltige Lösung.
Wachsende regulatorische Anforderungen in Europa und den USA
Die Problematik unsicherer IoT- und Netzwerkgeräte rückt zunehmend in den Fokus von Regulierungsbehörden. In den USA wurde 2025 das freiwillige Cyber Trust Mark-Programm gestartet, um sichere Geräte für Verbraucher erkennbar zu machen.
In der Europäischen Union verfolgt der geplante Cyber Resilience Act einen strengeren Ansatz. Er sieht verbindliche Sicherheitsanforderungen und Mindestzeiträume für Updates vor. Hersteller könnten künftig verpflichtet sein, Sicherheitsupdates über mehrere Jahre bereitzustellen – auch über das Ende des Verkaufs hinaus.
Fazit
Die Zyxel-Warnung verdeutlicht, wie kritisch Sicherheitslücken in Netzwerkgeräten sind. Router stehen dauerhaft im Internet und bilden das Einfallstor in private und geschäftliche Netzwerke. Wenn für betroffene Geräte keine Updates mehr bereitgestellt werden, bleibt Ihnen nur die Wahl zwischen erhöhtem Risiko und dem Austausch der Hardware.
Die zunehmende Regulierung und das wachsende Sicherheitsbewusstsein könnten künftig dazu beitragen, dass Hersteller längere Update-Zeiträume garantieren. Bis dahin gilt: Prüfen Sie Ihre Geräte regelmäßig, deaktivieren Sie unnötige Fernzugriffe und ersetzen Sie nicht mehr unterstützte Hardware rechtzeitig.
