CVE-2026-70554: Kritisk fejl i MaxSite CMS
Kritisk fejl i MaxSite CMS lader hackere overtage din hjemmeside uden login via en forgiftet cookie.
Hvad er det?
MaxSite CMS indeholder en alvorlig sikkerhedsfejl kaldet PHP object injection (CVE-2026-70554). Fejlen opstår fordi CMS-systemet ukritisk åbner og behandler data fra en cookie kaldet maxsite_comuser — uden at tjekke om dataene er sikre. En angriber kan sende en specialfremstillet HTTP-forespørgsel med skjult skadelig kode i denne cookie. Når serveren åbner cookien, aktiveres den skadelige kode automatisk, og angriberen kan overtage serveren fuldstændigt. Der kræves hverken brugernavn, adgangskode eller menneskelig interaktion fra din side.
Hvem rammer det?
Alle virksomheder og organisationer der driver en hjemmeside eller webshop bygget på MaxSite CMS er i risikozonen. Det gælder uanset størrelse — fra enkeltstående virksomhedshjemmesider til større portaler. Særligt udsatte er du, hvis din server kører PHP-udvidelser som SoapClient eller Imagick, da disse giver angribere ekstra muligheder for at eksekvere kode.
Hvad kan ske?
En vellykket udnyttelse giver angriberen fuld kontrol over din webserver. Det betyder i praksis:
- Datatyveri: Kundeinformationer, loginoplysninger og forretningsdata kan kopieres og stjæles.
- Hjemmesiden overtages: Angriberen kan ændre eller slette dit indhold, eller bruge din side til at sprede malware til dine besøgende.
- Serveren misbruges: Din server kan bruges til at angribe andre, sende spam eller mine kryptovaluta.
- Ransomware: Alle filer på serveren kan krypteres og holdes som gidsel mod løsesum.
Hvor alvorligt er det?
Sårbarheden er vurderet til CVSS-score 9.8 ud af 10 — det højest mulige kritikalitetsniveau i praksis. Den kræver ingen forudgående adgang, ingen brugerinteraktion og kan udnyttes af hvem som helst over internettet med minimal teknisk viden. Alle tre sikkerhedsdimensioner — fortrolighed, integritet og tilgængelighed — er fuldt kompromitterede ved et angreb. Det betyder, at hvis du kører MaxSite CMS og ikke handler, er din server reelt åben for alle angribere på internettet.
Hvad gør jeg nu?
Tag følgende skridt hurtigst muligt for at beskytte din virksomhed:
- Identificér om du bruger MaxSite CMS: Spørg din webudvikler eller hostingleverandør om din hjemmeside kører MaxSite CMS.
- Opdatér straks: Installer den seneste sikkerhedsopdatering til MaxSite CMS så snart den er tilgængelig — tjek MaxSite CMS’ officielle hjemmeside eller kontakt din leverandør.
- Begræns adgang midlertidigt: Hvis opdatering ikke er mulig med det samme, overvej at sætte hjemmesiden i vedligeholdelsestilstand eller bloker offentlig adgang via firewall, indtil en patch er installeret.
- Gennemgå server-logs: Bed din it-ansvarlige eller ekstern konsulent om at kigge efter mistænkelig aktivitet i server-logs, særligt usædvanlige HTTP-forespørgsler med store cookies.
- Skift adgangskoder: Skift adgangskoder til CMS-administrationen, databasen og hosting-kontoen som en sikkerhedsforanstaltning.
- Kontakt professionel hjælp: Hvis du er i tvivl om din eksponering, kontakt en cybersikkerhedskonsulent for en hurtig vurdering.
Handl inden for 24-48 timer
Auroa anbefaler, at du handler inden for de næste 24-48 timer. Kontakt din webudvikler eller hostingudbyder i dag og få bekræftet, om du er eksponeret. Selv en midlertidig afskærmning af hjemmesiden er bedre end at lade den stå åben for angreb. Følg løbende med i MaxSite CMS’ officielle kanaler for en patch, og implementér den straks den udkommer.
Tidslinje
Konkrete eksempler
Angriber overtager webshop via forgiftet cookie
En hacker scanner automatisk internettet og finder en webshop der kører MaxSite CMS. Hackeren sender en enkelt HTTP-forespørgsel til webshoppen med en specialkonstrueret cookie indeholdende skjult PHP-kode. Serveren ‘åbner’ cookien uden at tjekke indholdet, koden aktiveres, og hackeren får fuld adgang til serveren. På få minutter hentes alle kundedata inklusiv navne, adresser og betalingsoplysninger.
Hjemmeside bruges til at sprede malware til besøgende
En angriber udnytter sårbarheden til at indsætte skjult skadelig kode på en virksomheds hjemmeside. Hjemmesiden ser normal ud for ejeren, men besøgende kunder inficeres automatisk med malware når de besøger siden. Virksomheden opdager det først uger senere, når Google markerer siden som farlig og fjerner den fra søgeresultaterne — med alvorligt omdømmetab og kundeflugt til følge.
Ransomware-angreb via kompromitteret webserver
En angriber udnytter CVE-2026-70554 til at få fodfæste på webserveren og bevæger sig derfra videre ind i virksomhedens interne netværk via delte netværksdrev eller VPN-forbindelser. Alle filer på serveren og tilknyttede systemer krypteres med ransomware, og virksomheden modtager et krav om løsesum på adskillige tusinde kroner for at få sine data tilbage.
Ofte stillede spørgsmål
Hvad er PHP object injection, og hvorfor er det farligt?
PHP object injection er en type angreb, hvor en hacker sender skjulte instruktioner til din server pakket ind i data, som serveren normalt stoler på — i dette tilfælde en cookie. Når serveren ‘pakker dataene ud’ (en proces kaldet unserialisering), følger de skjulte instruktioner med og udføres automatisk. Det er farligt fordi det kan give angriberen fuld kontrol over serveren uden nogen form for login.
Skal min hjemmeside være populær for at blive angrebet?
Nej. Angribere bruger automatiserede værktøjer der scanner internettet for sårbare systemer uanset størrelse eller popularitet. En lille virksomhedshjemmeside med MaxSite CMS er lige så meget i farezonen som en stor portal. Størrelse giver ingen beskyttelse.
Hvordan ved jeg om min hjemmeside allerede er kompromitteret?
Tegn på et angreb kan være: uforklarlige ændringer på hjemmesiden, langsommere server end normalt, ukendte brugere i CMS-administrationen, spam sendt fra din e-mailserver eller advarsler fra Google om malware på siden. Bed din it-ansvarlige om at gennemgå server-logs for usædvanlig aktivitet. Hos Auroa kan vi hjælpe med en teknisk gennemgang.
Er der en opdatering tilgængelig nu?
På tidspunktet for offentliggørelsen af denne sårbarhed er en officiel patch endnu ikke bekræftet frigivet. Du bør løbende tjekke MaxSite CMS’ officielle hjemmeside og kontakte din leverandør. I mellemtiden bør du overveje midlertidige beskyttelsesforanstaltninger som firewall-regler eller at sætte siden offline.
Hvad koster det ikke at gøre noget?
Konsekvenserne ved et vellykket angreb kan inkludere datatyveri med efterfølgende GDPR-bøder, tabt omdømme hos kunder, udgifter til genopretning af systemer og potentielt løsesumskrav. For mange SMV’er kan et sådant angreb koste 10-100 gange mere end en forebyggende indsats nu.
Kan min firewall eller antivirus beskytte mig?
En standard firewall eller antivirus på din computer beskytter ikke din webserver mod denne type angreb. Du har brug for en Web Application Firewall (WAF) — et specialiseret filter der kan blokere ondartede HTTP-forespørgsler — kombineret med en opdateret CMS-installation. Kontakt din hostingudbyder for at høre om WAF er tilgængelig på din hostingpakke.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MaxSite CMS contains a PHP object injection vulnerability that allows unauthenticated attackers to execute arbitrary code by passing attacker-controlled serialized data in the maxsite_comuser cookie directly to unserialize() without validation or class allowlisting. Attackers can craft a malicious serialized PHP object payload delivered in a single HTTP request to trigger magic methods during object graph reconstruction, enabling property-oriented programming attacks or remote code execution via available gadget chains such as those targeting SoapClient or Imagick extensions.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.