En kritisk sårbarhet i GNU InetUtils telnetd kan gi angripere full root-tilgang uten innlogging. Feilen, registrert som CVE-2026-32746 med CVSS 9.8, kan utløses i den første protokollforhandlingen på port 23 – før brukeren i det hele tatt møter et login-prompt.
Sårbarheten ble meldt av sikkerhetsselskapet Dream, som beskriver en out-of-bounds write i LINEMODE SLC-håndteringen. Ifølge analysen kan en angriper sende spesiallagde Telnet-meldinger under handshake og trigge minnekorrupsjon som i praksis kan gi fjernkjøring av kode med root-rettigheter.
At angrepet er «pre-auth» gjør dette ekstra alvorlig i miljøer der Telnet fortsatt står eksponert, enten direkte mot internett eller i interne nett uten streng segmentering. Ett enkelt nettverkstreff mot port 23 kan være nok.
Hvorfor dette er viktig nå
Telnet brukes langt mindre enn før, men finnes fortsatt i eldre driftssystemer, nettverksutstyr og enkelte industrielle miljøer. Når en kritisk sårbarhet treffer en tjeneste som ofte kjører med høye privilegier, blir konsekvensen i verste fall total kompromittering av verten.
Saken kommer også kort tid etter en annen alvorlig telnetd-feil (CVE-2026-24061), som ifølge omtale allerede har vært under aktiv utnyttelse. Det gir et tydelig signal om at gamle fjernadministrasjonstjenester igjen er attraktive mål.
Hva virksomheter bør gjøre
Før en patch er tilgjengelig bør sikkerhetsteam behandle telnetd som høyrisiko:
- slå av Telnet der det ikke er strengt nødvendig
- blokkér port 23 på perimeter og internt der mulig
- kjør tjenesten med minst mulige privilegier dersom den må være oppe
- isoler systemer som fortsatt krever Telnet, og overvåk trafikkmønstre tett
Ifølge publisert informasjon er en offisiell retting ventet senest 1. april 2026. Frem til da handler risikoreduksjon først og fremst om eksponeringskontroll.
For norske IT-miljøer er dette en klassisk påminnelse: teknisk gjeld i eldre protokoller kan plutselig bli en akutt sikkerhetshendelse når nye angrepsteknikker dukker opp.