Router UPnP-Lücke CVE-2026-75501: Wenn NAT plötzlich nichts mehr schützt

Eine Router UPnP-Lücke vom 21. August 2026 zeigt sehr deutlich, wie wenig NAT tatsächlich schützt. Betroffen ist ein bestimmtes Modell eines US-Herstellers – die Lehre daraus gilt aber für jedes Heimnetz, auch in Österreich und Deutschland. Denn der Fehler ist kein exotischer Programmierunfall, sondern eine Konfigurationsentscheidung, die anderswo genauso getroffen werden kann.

Was hinter CVE-2026-75501 steckt

Betroffen ist laut CERT/CC der Calix GS7 XGS (Modellbezeichnung GS5239XG) mit der Firmware EXOS/6.6.47. Nach Herstellerangaben und der Beschreibung bei BleepingComputer handelt es sich um ein Wi-Fi-7-Gateway mit integriertem XGS-PON-Glasfaser-Anschluss, das im US-Breitbandmarkt eingesetzt wird. Das Gerät bindet seinen UPnP-Dienst – konkret den WANIPConnection-SOAP-Endpunkt der Software MiniUPnPd – auf die öffentliche WAN-Seite, TCP-Port 5000. Ohne jede Zugangskontrolle.

UPnP ist eigentlich ein Bequemlichkeitsdienst für das interne Netz: Eine Spielkonsole oder ein Videochat-Programm sagt dem Router „öffne mir bitte diesen Port“, und der Router tut es. Genau diese Funktion steht bei den betroffenen Geräten dem gesamten Internet offen. Wer den Router erreicht, kann Portweiterleitungen anlegen, bestehende löschen, sich die vorhandenen auflisten lassen und die öffentliche IP-Adresse abfragen – alles unauthentifiziert.

Das CERT Coordination Center der Carnegie Mellon University veröffentlichte die Schwachstelle am 21. August 2026 als Vulnerability Note VU#756733. Entdeckt hat sie der Sicherheitsforscher Brian Khan Quintana. Er versuchte ab dem 7. Juni, den Hersteller zu erreichen; im CERT-Datensatz ist der 7. Juli als Benachrichtigungsdatum für Calix eingetragen. Der Herstellerstatus steht dort bis heute auf „Unknown“, eine Stellungnahme liegt nicht vor, einen Patch gibt es nicht. Einen CVSS-Wert vergibt CERT/CC in dieser Note übrigens nicht; die kursierende Einstufung als kritisch stammt vom Entdecker selbst.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Das eigentlich Unangenehme: die Regel bleibt

Quintana hat den Angriff von außerhalb seines eigenen Heimnetzes praktisch nachgestellt und eine Portweiterleitung auf ein internes Gerät eingerichtet. Eine ohne Ablaufzeit angelegte Weiterleitung überlebte den Neustart des Routers.

Das ist der Punkt, der diese Lücke von einer gewöhnlichen Fehlkonfiguration unterscheidet. Der klassische Rat „zieh den Router mal kurz vom Strom“ hilft hier nicht. Wer einmal ein Loch gebohrt hat, hat einen dauerhaften Zugang zu einem Gerät im Heimnetz – zu Überwachungskameras, zum NAS, zu Verwaltungsoberflächen, zu allem, was sonst hinter NAT und Firewall liegt. Ohne Passwort, ohne Meldung, ohne sichtbare Spur an der Oberfläche des Geräts.

Was das für dich bedeutet

Nüchtern vorweg: Für einen Einsatz dieses Modells bei österreichischen oder deutschen Providern habe ich keine Belege gefunden – der Schwerpunkt liegt im US-Markt. Das heißt nicht, dass Calix in Europa keine Rolle spielt; der britische Anbieter CityFibre etwa ist seit Jahren Calix-Kunde. Unabhängig davon halte ich diesen Fall für einen der lehrreichsten der letzten Wochen, und zwar aus drei Gründen.

Erstens: NAT ist kein Sicherheitsfeature. Das ist ein Satz, den ich in Netzwerk-Reviews immer wieder sagen muss, und er stößt regelmäßig auf Widerstand. NAT übersetzt Adressen, weil IPv4-Adressen knapp sind. Der Schutzeffekt, den viele damit verbinden, stammt in Wahrheit vom zustandsbehafteten Filtern: Ein unaufgefordert eingehendes Paket findet keinen passenden Verbindungszustand und fällt weg. Das ist ein Nebeneffekt, keine Richtlinie und schon gar keine Authentifizierung – so argumentiert auch RFC 4864. Jeder Mechanismus, der Portweiterleitungen anlegen darf – UPnP, NAT-PMP, PCP, die Fernverwaltung des Providers per TR-069 oder schlicht ein kompromittiertes Gerät im LAN – hebelt diesen Effekt aus. Wer seine internen Systeme nur deshalb ungehärtet betreibt, weil „die sind ja hinter NAT“, baut auf Sand. Das gilt für den Fritzbox-Haushalt genauso wie fürs Firmennetz.

Zweitens: Der Router gehört meistens nicht dir. Bei einem vom Provider gestellten Gerät bestimmst du weder den Firmware-Stand noch den Patch-Zeitpunkt, und oft nicht einmal, welche Einstellungen du sehen darfst. CERT/CC weist ausdrücklich darauf hin, dass die UPnP-Option gesperrt sein kann und man sich dann an den Anbieter wenden muss. Das ist die Kehrseite des bequemen Rundum-sorglos-Pakets: Du erbst das Sicherheitsniveau deines Providers. Wer das nicht will, betreibt einen eigenen Router hinter dem Providergerät – mit dem Providergerät im Bridge-Modus, sonst hast du zwei NAT-Ebenen und neuen Ärger.

Drittens: Das schweigende Herstellerverhalten. Zweieinhalb Monate zwischen erstem Kontaktversuch und Veröffentlichung, ohne Reaktion – das ist der Grund, warum es Coordinated Disclosure durch Stellen wie CERT/CC überhaupt gibt. Für dich als Kunde heißt das praktisch: Verlass dich bei Netzwerkgeräten nicht darauf, dass ein Patch kommt. Plane so, dass du auch ohne ihn zurechtkommst.

Was du heute prüfen kannst

Diese fünf Punkte kosten zusammen etwa zwanzig Minuten und gelten unabhängig vom Router-Modell:

• UPnP abschalten, wenn du es nicht brauchst. Bei den betroffenen Calix-Geräten liegt der Schalter unter Advanced → Security → UPnP; bei anderen Modellen heißt es meist ähnlich. Der Preis: Einzelne Spiele und Konsolen richten ihre Ports nicht mehr selbst ein. Die kannst du bei Bedarf manuell freigeben – und weißt dann wenigstens, welche offen sind.
• Bestehende Portfreigaben ansehen. Im Router-Menü unter Portweiterleitung oder Portfreigabe. Alles, was du nicht selbst eingetragen hast und nicht erklären kannst, gehört weg. Diese Liste hat vermutlich seit Jahren niemand angeschaut.
• Von außen gegenprüfen. Ein Portscan auf die eigene öffentliche IP zeigt, was das Internet tatsächlich sieht. Für einen ersten Eindruck reicht ein Blick von einem Mobilfunk-Netz aus, also außerhalb des eigenen WLANs.
• Interne Geräte härten, statt auf den Router zu vertrauen. Kamera, NAS und Smart-Home-Zentrale brauchen eigene starke Passwörter und aktuelle Firmware – gerade weil eine einzige Routerlücke sie sonst direkt exponiert.
• Beim Provider nachfragen, wenn du nicht drankommst. Ist die Einstellung gesperrt, ist das kein Grund aufzugeben. CERT/CC nennt als Alternative das Filtern eingehenden Verkehrs auf TCP-Port 5000 – über ein zweites Gerät oder den Anbieter.

Wer den Schritt zu einem eigenen Gerät hinter dem Providerrouter überlegt: In meinem Ratgeber zu WLAN-Routern und Mesh-Systemen gehe ich darauf ein, worauf es bei Update-Politik und Konfigurierbarkeit ankommt – das sind die Kriterien, die in genau solchen Fällen den Unterschied machen. Passend dazu ist auch die Mirai-Variante Evooo1Bot, die es ebenfalls gezielt auf Heimgeräte abgesehen hat.

Einordnung: Wie dringend ist das?

Für Besitzer des betroffenen Modells: dringend, weil es keinen Patch gibt und der Workaround aus einem einzigen Klick besteht. Für alle anderen: kein Grund zur Aufregung, aber ein guter Anlass für die überfällige Bestandsaufnahme im eigenen Netz. Ich kenne kaum ein Heimnetz, in dem nicht mindestens eine vergessene Portfreigabe aus einem längst deinstallierten Programm herumliegt.

Quellen

• CERT/CC Vulnerability Note VU#756733 (21.08.2026)
• Brian Khan Quintana: Technische Analyse zu CVE-2026-75501
• BleepingComputer: Unpatched Calix flaw lets hackers bypass NAT (24.08.2026)