CVE-2026-102911: Kritisk fejl i pi-llm-wiki MCP-værktøj
Kritisk sårbarhed i pi-llm-wiki (CVE-2026-102911) gør det muligt at køre systemkommandoer via url-parameter. Opdatér til 0.11.8.
Hvad er det?
CVE-2026-102911 er en sårbarhed i pi-llm-wiki, et open source-værktøj der bruges til at koble en wiki sammen med sprogmodeller via MCP, en standard der lader AI-værktøjer kalde eksterne funktioner. Fejlen sidder i funktionen wiki_capture_source, som henter indhold fra en angivet url. Værktøjet renser ikke url-parameteren korrekt, før den sendes videre til systemets kommandolinje. Det betyder, at en angriber kan indsætte egne systemkommandoer i stedet for en almindelig webadresse. Fejlen kaldes kommandoindsprøjtning, og den kan udnyttes over netværket uden at brugeren skal gøre noget aktivt.
Hvem rammer det?
Sårbarheden rammer alle installationer af pi-llm-wiki til og med version 0.11.7, hvor komponenten wiki_capture_source er aktiveret som MCP-værktøj. Det gælder virksomheder og organisationer, der bruger pi-llm-wiki som intern videnbase koblet til en sprogmodel, eksempelvis til dokumentation, support eller interne AI-assistenter. Angriberen skal have en lavt privilegeret konto på systemet, men behøver ikke administratorrettigheder.
Hvad kan ske?
En angriber med adgang til en almindelig bruger kan sende en manipuleret url til wiki_capture_source og få serveren til at udføre vilkårlige systemkommandoer. I praksis kan det bruges til at læse følsomme filer, oprette nye brugere, installere skadelig software eller få fuld kontrol over den server, hvor wikien kører. Da serveren ofte har adgang til andre interne systemer, kan et angreb sprede sig videre i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og en lavt privilegeret konto, men ingen handling fra en anden bruger. Kompleksiteten er lav, så et fungerende angreb er let at gennemføre, når adgangen er til stede. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der findes offentliggjort kode, der demonstrerer angrebet, så risikoen for misbrug er reel, selvom det endnu ikke er bekræftet udnyttet i konkrete angreb.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér pi-llm-wiki til version 0.11.8 eller nyere, hvor fejlen er rettet.
- Kan opdateringen ikke gennemføres straks, så deaktivér wiki_capture_source MCP-værktøjet midlertidigt.
- Gennemgå adgangslister og fjern konti, der ikke har reelt behov for adgang til systemet.
- Tjek server- og applikationslogs for usædvanlige url-kald til wiki_capture_source siden 30. september 2026.
- Isolér den server, wikien kører på, fra kritiske interne systemer, indtil opdateringen er på plads.
- Er I i tvivl om, hvorvidt jeres opsætning er sårbar, eller om I allerede er ramt, bør I hente ekstern hjælp til undersøgelse og oprydning.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer pi-llm-wiki til version 0.11.8 så hurtigt som muligt, da der findes offentliggjort angrebskode, og fejlen giver fuld kontrol over serveren. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesuge, da alvoren og den lave angrebskompleksitet gør risikoen konkret. Kan opdateringen ikke ske med det samme, bør I som minimum deaktivere det sårbare værktøj og begrænse adgangen, indtil rettelsen er installeret.
Tidslinje
Konkrete eksempler
Intern videnbase koblet til AI-assistent
En dansk it-virksomhed bruger pi-llm-wiki som intern videnbase, hvor medarbejdere kan bede en AI-assistent om at hente og opsummere kildesider via wiki_capture_source. En medarbejderkonto med lave rettigheder bliver kompromitteret gennem phishing, og angriberen bruger kontoen til at sende en manipuleret url, der udfører systemkommandoer på wiki-serveren. Herfra får angriberen adgang til interne filer og kan bevæge sig videre til andre systemer på netværket.
Ofte stillede spørgsmål
Bruger vi overhovedet pi-llm-wiki?
Tjek jeres liste over installerede open source-værktøjer, eller spørg den, der har sat jeres interne wiki eller AI-integration op. Værktøjet bruges typisk sammen med sprogmodeller til intern videndeling.
Kan vi vente med opdateringen til weekenden?
Det frarådes. Sårbarheden har en meget høj alvorlighedsgrad, og der findes offentliggjort kode, der kan udnytte den. Kan I ikke opdatere med det samme, bør I deaktivere det sårbare værktøj i mellemtiden.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver kun, at angriberen har en lavt privilegeret konto på systemet og sender en manipuleret forespørgsel. Der er ikke behov for, at en anden bruger klikker eller åbner noget.
Hvordan tjekker vi, om vi er blevet ramt?
Gennemgå logs for wiki_capture_source-kald siden 30. september 2026 og se efter usædvanlige url-værdier, der ligner systemkommandoer. Se også efter uventede filer, nye brugerkonti eller processer på serveren.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder tegn på, at sårbarheden er udnyttet, og persondata eller kritiske systemer er berørt, skal I vurdere anmeldelsespligt efter databeskyttelsesloven over for Datatilsynet inden for 72 timer.
Er andre versioner end 0.11.7 berørt?
Ifølge de tilgængelige oplysninger er alle versioner til og med 0.11.7 sårbare. Version 0.11.8 indeholder rettelsen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A flaw has been found in zosmaai pi-llm-wiki up to 0.11.7. Affected is an unknown function of the file mcp/index.ts of the component wiki_capture_source MCP tool. Executing a manipulation of the argument url can lead to os command injection. The attack can be executed remotely. The exploit has been published and may be used. Upgrading to version 0.11.8 is able to address this issue. This patch is called 360867034e79175b45c8e04a98e4ca712bbaca35. Upgrading the affected component is advised.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.