Firmware-update: OpenWrt 25.12.1

Versie 25.12.1 van OpenWrt is uitgekomen. OpenWrt is alternatieve opensourcefirmware voor een groot aantal verschillende routers en embedded devices. Door middel van het apk-packagemanagementsysteem is er de mogelijkheid om zelf te bepalen wat de router allemaal wel en niet kan. Ook op GoT zijn er diverse mensen actief mee bezig: zie daarvoor dit topic. Bijwerken van de versie kan met een Attended Sysupgrade, handmatig met een voorgecompileerde firmwareversie van het apparaat dat je gebruikt of compileer je eigen variant met de firmwareselectie. De changelog voor deze uitgave kan hieronder worden gevonden.

Security fixes

OpenWrt components (Trail of Bits audit, February 2026):

• CVE-2026-30871: Stack buffer overflow in umdns DNS PTR query handling (HIGH)
• CVE-2026-30872: Stack buffer overflow in umdns IPv6 reverse DNS lookup (HIGH)
• CVE-2026-30873: Memory leak in jsonpath when processing strings, labels, and regexp tokens (LOW)
• CVE-2026-30874: Command execution via PATH environment variable filter bypass in procd (LOW)

LuCI:

• CVE-2026-32721: Possible XSS attack via malicious SSID in LuCI WiFi scan modal (HIGH)

Additional hardening from the same Trail of Bits audit (no CVE assigned):

• odhcpd: fix stack buffer overflow in DHCPv6 Identity Association logging
• procd: fix out-of-bounds write in cgroup path building and cgroup rule application

Device support

• airoha: fix EN7581 PCIe initialization and add x2 (2-lane) link support — improves PCIe reliability and unlocks full bandwidth for affected devices
• ath79: TP-Link RE355 v1, RE450 v1/v2: fix partition alignment to prevent configuration loss on sysupgrade
• ipq40xx: Devolo Magic 2 WiFi next: enable device support
• ipq40xx: re-enable MeshPoint.One target
• ipq806x: AP3935: fix U-Boot NVMEM layout
• lantiq: fix GPIO expander clock (gpio-stp-xway) — restores correct LED and GPIO behaviour on affected devices
• lantiq: fix missing WAN MAC address assignment on some devices
• mediatek: Cudy M3000: add support for hardware variant with Motorcomm YT8821 PHY (previously only the Realtek PHY variant was supported)
• mediatek: TP-Link BE450: fix 10GbE PHY reset timing that caused intermittent boot stalls, add missing WLAN toggle button, fix reported memory size
• microchipsw: Novarq Tactical 1000: fix swapped SFP I2C buses for ports 1 and 3 — fixes SFP EEPROM read failures
• ramips: Keenetic KN-1910: fix sysupgrade functionality
• realtek: RTL838x-based switches: fix non-functional reboot
• treewide: Linksys devices: fix MAC address assignment

WiFi fixes and improvements

• mac80211: fix crash triggered by Channel Switch Announcement (CSA) when AP VLAN interfaces are in use
• mt76: add MT7990 firmware support (new MediaTek WiFi 7 chipset)
• mt76: mt7915: fix power save mode handling
• mt76: mt7921/MT7902: add MT7902e MCU and DMA layout support
• mt76: mt7996/mt7992: fix crash in transmit path, fix out-of-bounds access during hardware restart, improve MLO/CSA and radar detection support
• wifi-scripts: fix incorrect VHT160 capability advertisement — was incorrectly set on non-160 MHz AP configurations, degrading station upload speed (#22435)
• wifi-scripts: fix malformed wpa_supplicant config when 802.1X EAP credentials (identity, password, certificates) contain spaces (#22212)

Web interface (LuCI) and system fixes

• luci-mod-network: fix XSS vulnerability in WiFi scan modal (CVE-2026-32721)
• ustream-ssl (OpenSSL variant): fix use-after-free crash causing uhttpd (the LuCI web server) to crash under high load (#19349)

Networking and system fixes

• firewall4: set as the preferred firewall package over the legacy firewall package
• iptables: prefer the nftables-backed variants (iptables-nft, ip6tables-nft) when iptables is pulled in as a dependency
• kernel: CAKE QoS scheduler fixes — avoid unnecessary synchronization overhead when running without a rate limit, fix DiffServ rate scaling
• kernel: SFP: improve Huawei MA5671a module support — module is now accessible even when no fiber is connected
• odhcpd: fix segfault when disabling a DHCP interface, fix DHCPv4 lease tree corruption, fix truncated field in DHCPv6 lease queries, fix DNS search list padding
• ppp: fix potential memory safety issue (undefined behavior in memcpy with overlapping buffers); remove the MRU limit patch for PPPoE connections (#573)

Package manager (apk)

• apk: update to version 3.0.5 with several OpenWrt-specific bug fixes
• apk: add --force-reinstall option to reinstall already-installed packages without requiring a version change

Core component updates

• apk: update from 3.0.2 to 3.0.5
• jsonfilter: update from 2025-10-04 to 2026-03-16 (fixes CVE-2026-30873)
• libubox: update from 2026-02-13 to 2026-03-13 (ABI version stabilized for 25.12 stable series)
• Linux kernel: update from 6.12.71 to 6.12.74
• odhcpd: update from 2026-01-19 to 2026-03-16
• omcproxy: update from 2025-10-04 to 2026-03-07
• procd: update from 2026-02-20 to 2026-03-14 (fixes CVE-2026-30874)
• umdns: update from 2025-10-04 to 2026-02-06 (fixes CVE-2026-30871, CVE-2026-30872)
• ustream-ssl: update from 2025-10-03 to 2026-03-01

Versienummer	25.12.1
Releasestatus	Final
Website	OpenWrt
Download	https://firmware-selector.openwrt.org
Licentietype	GPL

Reacties (15)

[Tarique]

Ik vind het wel knap dat mensen hiermee durven te werken. Zelf ben ik daar toch wat terughoudender in. Vaak denk ik: waarom zou je een alternatieve firmware zoals OpenWrt gebruiken als er al iets standaard op je router staat? Die drempel zit voor mij vooral in het gevoel dat je iets “kapot” kunt maken. Niet zozeer hardwarematig, maar softwarematig, dat je router ineens niet meer opstart en je daar zit met een soort digitale baksteen. En dan ben je weer uren bezig om het recht te zetten.

Aan de andere kant snap ik het ook wel: OpenWrt geeft je meer controle, langere ondersteuning en vaak betere beveiliging. Het is eigenlijk de “pro mode” van je router. Maar ja… dat betekent ook dat jij ineens degene bent die alles moet snappen, fixen en onderhouden. En daar moet je maar net zin in hebben (en de tijd).

Ik was al trots toen ik band-steering ontdekte en apparaten een beetje kon sturen naar de juiste band 😄 Laat staan dat ik firmware ga flashen alsof ik een netwerkengineer ben.

[The Zep Man]

Vaak denk ik: waarom zou je een alternatieve firmware zoals OpenWrt gebruiken als er al iets standaard op je router staat?

Meer functionaliteit uit bestaande hardware halen. Langere ondersteuning. Een uniforme managementinterface, zelfs met hardware van verschillende fabrikanten. Ik draai OpenWRT met name op access points en managed switches. Als het geen OpenWRT ondersteunt, dan ben ik niet geïnteresseerd. Voor serieuze routers gebruik ik OPNsense.

Die drempel zit voor mij vooral in het gevoel dat je iets “kapot” kunt maken.

Iets slopen is de eerste stap naar leren hoe je dingen kan repareren. De meeste bricks zijn te herstellen d.m.v. een low-level firmware recovery procedure, soms via TFTP, soms via UART (direct op de SoC gebaseerd op ROM code, dus robuust). Als dat niet kan, dan kan je terugvallen op andere zaken, zoals een flash chip direct benaderen met een testclip en iets als een Raspberry Pi.

[Reactie gewijzigd door The Zep Man op 18 maart 2026 15:11]

[D43m0n]

Ik ben dezelfde mening en ervaring toegedaan. Ik draai al jaren OpenWRT, LEDE en daarna weer OpenWRT op mijn routers. Er is een goede wiki met veel uitgewerkte onderwerpen en er is een zeer actieve community die elkaar helpt.

Ik heb veel geleerd door fouten te maken. Backups zijn eenvoudig te maken en terug te zetten. Met de juiste hardware (die is populair binnen de community) is een softbrick eenvoudig te herstellen. Ik heb inmiddels een goedkoop Intel (x86) micro Pc-tje als OpenWRT router in gebruik en de nodige tweedehands routers als access point. Ik had ook een Unifi/Ubiquiti setup kunnen kiezen, maar daar hangt een ander prijskaartje aan. Een aantal routers met OpenWRT als access point heeft me veel kennis gebracht.

Docker is bijvoorbeeld ook prima te draaien op OpenWRT. En die continue doorontwikkeling in functionaliteit en beveiliging spreekt me zeer aan.

[ComputerHoed]

nieuws: Odido-router stuurde analyticsdata naar Turks AI-bedrijf - update

Is al reden genoeg om je 'standaard' provider-router het raam uit te gooien en te vervangen met een router waar je OpenWRT op kan zetten.

[__fred__]

Inderdaad. Opnsense VM hier en OpenWRT, precies om dit soort onzin.

Overigens is de 25.12.1 aangekondigd. Hij is nog niet te downloaden of te upgraden. Zal morgen wel worden. Voor eenieder die foutmeldingen op de attended upgrade service of firmware builder krijgt.

[Reactie gewijzigd door __fred__ op 18 maart 2026 14:49]

[Dellebel]

Is morgen (de 19e) inderdaad.

[Raziel]

Wel slordig dat je vandaag al de melding in OpenWrt zelf krijgt.

[jja2000]

Ook leuk om te weten, de standaard routerfirmware van de T-56 support 802.11r doodleuk niet. Met OpenWRT kun je daar wel gebruik van maken.

[xxs]

Soms wordt de firmware van de fabrikant niet meer gesupport. Met Openwrt kan dan toch een veilig stuk hardware neergezet worden.

[divvid]

Mijn TP Link router was erg onstabiel. Met OpenWRT draait het ding al jaren lang probleemloos.

[Falco]

Ik zou zeggen, probeer het eens. De documentatie van OpenWrt is normaal gesproken prima en de uit-de-doos settings zijn goed (en veilig) voor normaal thuisgebruik.

Meestal kan je voor weinig wel een ondersteunde router op Marktplaats of iets vinden.

Even checken in de Table of Hardware en gaan...
https://openwrt.org/toh/views/toh_available_16128_ax-wifi

[marcieking]

Ik ga zelf ook niet solderen aan een router als dat nodig is voor het kraken, en ik heb ook de skills en de apparaten niet om via een seriële bus de router te unlocken. Tegelijkertijd: we zitten op Tweakers, dus een beetje tweaken zou voor de meesten hier niet gek moeten zijn.

Dat gezegd hebbende:

• Op de meeste routers upload je gewoon een firmwarebestand via de update-interface van de fabrikant. Vervolgens is er een web-interface van OpenWRT die zich grotendeels vanzelf wijst voor het gebruik van 90% van de mensen
• De router van mijn provider ga ik inderdaad niet flashen: die moet nog terug. Ik heb dus voor een paar tientjes een extra apparaat gekocht. Nu hoef ik bij het wisselen van provider niet elke keer mijn netwerk opnieuw in te stellen. Dan kun je dus ook rustig vooraf doen, en dan pas in je netwerk hangen. Geen haast, geen paniek als het niet in 1x goed gaat.
• "alles moet onderhouden". OpenWRT heeft ongeveer 6 releases per jaar die je kunt installeren. Ik installeer ook updates op mijn laptop en op mijn telefoon.

[Reactie gewijzigd door marcieking op 18 maart 2026 15:19]

[Hansie9999]

In veel gevallen krijg je door OpenWRT te plaatsen op een "oude" maar goede router als resultaat een BETERE router dan zeker een nieuwe goedkope router, dus waarom niet

Veel merken houden hun meer geavanceerde functie's voor hun "dure" modellen, alhoewel de hardware van een goedkopere dat ook allemaal zou kunnen, met zaken zoals OpenWRT en Gargoyle unlock je alle power van je router waar je voor betaald hebt.

[bytemaster460]

Out of the box werkt OpenWrt al prima als standaard router. Updaten is niet lastiger dan bij commerciële routers. De extra functionaliteit kun je gebruiken maar hoeft niet. Daar tegenover staat langere ondersteuning, geen backdoors en geen dataverzameling zonder dat je het weet.

[Clemens123]

Je kan het ook zo zien: een keer dat je openwrt onder de knie hebt, moet je bij een nieuwe router nooit meer wennen aan hoe je iets moet instellen. En het flashen is vaak heel eenvoudig, hangt wel af van het model. Ook de recovery in het geval dat het mis zou gaan kan lastiger zijn met jtag of serieel...maar ik heb het nog niet nodig gehad en toch al tiental verschillende types op Openwrt omgeflashed.

[Reactie gewijzigd door Clemens123 op 18 maart 2026 19:34]