Im Zentrum des Updates steht CVE-2026-53921 in odhcpd. Der Sicherheitshinweis von OpenWrt beschreibt zwei voneinander unabhängige Überlaufstellen bei der Verarbeitung von DHCPv6-Anfragen. In beiden Fällen sorgen präparierte IA-Optionen dafür, dass in einem festen Stack-Puffer von 512 Byte zu wenig Platz verbleibt, bevor der Code weitere Antwortdaten ohne ausreichende Grenzprüfung anhängt.
Der eigentliche Auslöser ist jeweils ein nicht authentifiziertes DHCPv6-REQUEST an UDP-Port 547. Für den ersten Pfad erzeugt der veröffentlichte Beispielcode zuvor fünf IA_NA-Bindungen mit einem SOLICIT; der zweite Pfad lässt sich mit einem einzelnen präparierten REQUEST anstoßen. Als betroffen nennt OpenWrt odhcpd master bis einschließlich Commit e432dd6 sowie frühere Versionen mit den Funktionen dhcpv6_ia_handle_IAs() und build_ia().
Unklar bleibt die genaue Zuordnung der Fehler. Der Hinweis ordnet beide dokumentierten Überlaufstellen CVE-2026-53921 zu. Die Versionshinweise zu 24.10.8 führen den Überlauf bei RECONF_ACCEPT dagegen separat als Schwachstelle mit hoher Schwere auf, aber ohne CVE. OpenWrt hat die zugrunde liegenden Schreibzugriffe korrigiert, indem vor dem Anhängen der betroffenen Daten die verbleibende Kapazität des Antwortpuffers geprüft wird.
Die Versionshinweise sprechen von einem netzwerkbenachbarten, nicht authentifizierten Angreifer, während der CVSS-3.1-Vektor im Hinweis AV:N, also Netzwerk, und nicht AV:A verwendet. Weder die Versionshinweise noch der Sicherheitshinweis erklären diesen Unterschied. Festgehalten wird aber in beiden Fällen, dass ein Angreifer Netzwerkzugriff auf den DHCPv6-Dienst benötigt. Eine erfolgreiche Ausnutzung könnte laut Quelle die Kontrolle über den Router ermöglichen, nicht nur einen Absturz des Dienstes.
OpenWrt 24.10.8 beseitigt außerdem weitere Schwächen in odhcpd, die sich vor einer Anmeldung auslösen lassen: darunter einen Out-of-Bounds-Schreibzugriff, Use-after-free, Speicherpreisgabe, Denial of Service, ein Stack-Over-read und das Spoofing eines Neighbour-Discovery-Proxys. Hinzu kommen drei Fehler beim HTTP-Request-Smuggling in uhttpd sowie eine DHCPv6-Hostname-Injection, geführt als CVE-2026-62948, die zu gespeichertem XSS führen kann, wenn ein Administrator die LuCI-Seite mit den Leases öffnet.
Ebenfalls in 24.10.8 enthalten ist CVE-2026-62947 in cgi-io. Diese Schwachstelle kann über Path Traversal beliebige Dateien offenlegen, die Root lesen darf. OpenWrt betont jedoch, dass dafür eine authentifizierte Sitzung mit der Download-Berechtigung für cgi-io und eine passende Dateilesefreigabe per Wildcard nötig sind; es handelt sich also nicht um einen anonym ausnutzbaren Dateilesefehler.
Parallel dazu veröffentlichte Hacker House Ergebnisse einer KI-gestützten Prüfung der Hauptzweige von LuCI und uhttpd. Nach Angaben der Firma wurden dabei Schwächen wie Command Injection, Path Traversal und XSS in optionalen LuCI-Komponenten gefunden. OpenWrt identifizierte bei der Vorbereitung der Korrekturen zudem selbst eine separate Stored-XSS-Schwachstelle sowie fehlenden Schutz gegen Cross-Site-Request-Forgery. Diese LuCI-Korrekturen waren am 28. Juli noch in Prüfung und nicht Teil von OpenWrt 24.10.8.
Matthew Hickey, auch als Hacker Fantastic bekannt sowie CTO und Mitgründer von Hacker House, erklärte öffentlich, dass Korrekturen für von ihm an OpenWrt gemeldete Schwachstellen zur Remotecodeausführung und Path Traversal veröffentlicht worden seien. OpenWrt-Maintainer Hauke Mehrtens veröffentlichte am 26. Juli den LuCI-Pull-Request #8878 und nannte Hickey und Hacker House ausdrücklich. Eine Prüfung durch The Hacker News ergab am 28. Juli, dass der Pull Request noch offen und nicht zusammengeführt war.
OpenWrt 24.10 befindet sich weiter in Sicherheitswartung; das Projekt stellt das Supportende für September 2026 in Aussicht und empfiehlt den Wechsel auf die 25.12-Reihe vor diesem Zeitpunkt. Für bereits ausgelieferte Korrekturen sollen Nutzer 24.10.8 oder 25.12.5 installieren; separat aus dem Firmware-Image installierte Pakete können zusätzliche Updates erfordern.