CVE-2026-41851: Spring Framework DoS-sårbarhed

CVE-2026-41851 er en sårbarhed i VMware Spring Framework — et meget udbredt programmeringsværktøj, som mange webapplikationer og backend-systemer er bygget med. Sårbarheden ligger i den måde, frameworket håndterer såkaldte SpEL-udtryk (Spring Expression Language — et lille programmeringssprog, der bruges til at beregne værdier i applikationen) fra brugere. Hvis en applikation accepterer sådanne udtryk direkte fra brugere, kan en angriber sende udtryk, der får applikationens interne hukommelsescache (midlertidigt lager) til at vokse ukontrolleret, indtil systemet løber tør for ressourcer og går ned.

Sårbarheden rammer virksomheder og udviklere, der har bygget egne webapplikationer, API’er eller backend-systemer oven på Spring Framework i version 5.3.0–5.3.48, 6.1.0–6.1.27, 6.2.0–6.2.18 eller 7.0.0–7.0.7. Det er især relevant, hvis din applikation tillader brugere at sende inputdata, der behandles som SpEL-udtryk. Mange Java-baserede virksomhedsapplikationer bruger Spring Framework — spørg din udviklingspartner eller IT-leverandør, om det gælder for jer. Bruger du udelukkende standardsoftware som Office 365 eller regnskabsprogrammer, er du sandsynligvis ikke berørt.

En angriber uden nogen form for login eller forudgående adgang kan sende særligt udformede forespørgsler til din applikation. Det kan medføre:

• Applikationsnedbrud (Denial of Service) — din webapplikation eller API holder op med at svare, fordi serverens hukommelse løber tør.
• Driftsforstyrrelse — kunder eller medarbejdere kan ikke tilgå tjenesten, hvilket kan påvirke salg, produktion eller support.
• Gentagne angreb — angriberen kan automatisere angrebet og dermed holde din applikation nede over længere tid.

Sårbarheden giver ikke angriberen adgang til dine data eller mulighed for at ændre i systemet — den handler udelukkende om tilgængelighed.

Sårbarheden er vurderet til CVSS 5.3 — Moderat. Det betyder, at den ikke er kritisk, men stadig kræver opmærksomhed. Angrebet kan udføres over internettet uden login og kræver ingen hjælp fra brugere, hvilket gør det teknisk let at igangsætte. Til gengæld er skaden begrænset til driftsnedbrud — dine data kompromitteres ikke. Alvorligheden stiger, hvis din applikation er forretningskritisk, og nedetid har stor økonomisk konsekvens.

Kontakt din IT-leverandør eller udvikler og bed dem gennemgå følgende:

1. Kortlæg dine applikationer: Find ud af, om I har Java-applikationer bygget med Spring Framework, og hvilken version der anvendes.
2. Opdatér Spring Framework: Opgradér til en af de rettede versioner — 5.3.49, 6.1.28, 6.2.19 eller 7.0.8 — afhængigt af hvilken version I bruger.
3. Test efter opdatering: Bed din udvikler verificere, at applikationen fungerer korrekt efter opdateringen, da versionsskift kan have afledte effekter.
4. Vurdér brugerinput: Hvis I ikke kan opdatere med det samme, bør din udvikler undersøge, om applikationen accepterer SpEL-udtryk fra brugere, og i givet fald midlertidigt blokere eller validere dette input.
5. Overvåg driften: Hold øje med usædvanlig hukommelsesforbrugsvækst eller uventede nedbrud, mens opdateringen planlægges.