CVE-2026-11708: XSS i IBM WebSphere administrationskonsol
CVE-2026-11708 er en XSS-sårbarhed i IBM WebSphere Application Servers hjælpesystem. Opdatér administrationskonsollen og begræns adgang til den.
Hvad er det?
Sårbarheden er en cross-site scripting fejl, forkortet XSS, hvor en angriber kan indsætte skadelig kode i en webside, som senere afvikles i offerets browser. Fejlen sidder i det indbyggede hjælpesystem i administrationskonsollen til IBM WebSphere Application Server. En angriber kan bygge et link, der ser ud til at høre til hjælpesystemet, og narre en administrator til at klikke på det. Klikkes der, kan koden køre med den samme adgang som administratoren har i sin session, uden at der er behov for et brugernavn eller kodeord fra angriberens side.
Hvem rammer det?
Sårbarheden rammer IBM WebSphere Application Server version 9.0 og 8.5, specifikt administrationskonsollens hjælpefunktion. Det gælder virksomheder og kommuner, der kører WebSphere som applikationsserver til forretningskritiske systemer, herunder mange danske organisationer med ældre Java-baserede fagsystemer. Det er administrationskonsollen, ikke selve applikationstrafikken, der er berørt.
Hvad kan ske?
En angriber kan sende et link til en administrator, for eksempel i en mail eller besked, der ligner et link til hjælpesystemet. Klikker administratoren på linket, mens vedkommende er logget ind i konsollen, kan angriberens kode køre i browseren med administratorens rettigheder. Det kan bruges til at stjæle sessionscookies, ændre serverkonfiguration eller oprette nye administratorkonti, uden at angriberen selv har haft adgang til systemet forinden.
Hvor alvorligt er det?
CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ingen forudgående login eller rettigheder fra angriberens side, og kompleksiteten er lav. Der skal dog en brugerhandling til, en administrator skal klikke på et link, før koden bliver aktiveret. Konsekvensen kan være høj fortrolighed og høj integritet, altså at data kan læses og ændres, men ikke direkte nedbrud af systemet. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I venter på eller installerer en opdatering.
- Tjek IBM’s sikkerhedsbulletin for WebSphere Application Server og installer den tilhørende fix pack eller interim fix, der adresserer CVE-2026-11708.
- Begræns adgang til administrationskonsollen til et internt administrationsnetværk eller VPN, så den ikke er tilgængelig direkte fra internettet.
- Informer alle med administratoradgang om ikke at klikke på ukendte links, mens de er logget ind i konsollen, og om at logge ud efter brug.
- Gennemgå logfiler for administrationskonsollen for usædvanlige sessioner eller ændringer i konfigurationen.
- Overvej at aktivere yderligere sessionsbeskyttelse, for eksempel korte sessionstimeouts, indtil opdateringen er installeret.
- Kontakt Auroa eller IBM support, hvis I ikke selv har ressourcer til at finde og teste den relevante fix pack.
Opdatér inden for 14 dage
Vi anbefaler, at I installerer IBM’s opdatering til administrationskonsollen og samtidig begrænser netværksadgangen til den, så den kun er tilgængelig for administratorer på et lukket netværk. Da angrebet kræver, at en administrator klikker på et specifikt link, er det ikke nødvendigt at lukke systemet ned akut, men opdateringen bør planlægges ind i de kommende to uger. Det er i orden at vente, hvis I i mellemtiden har afskærmet konsollen fra internettet og informeret administratorerne om risikoen.
Tidslinje
Konkrete eksempler
Falsk hjælpelink til it-administrator
En it-administrator i en dansk kommune modtager en mail, der ser ud til at komme fra en kollega, med et link til en hjælpeside i WebSphere-konsollen. Administratoren er logget ind i konsollen og klikker på linket for at se, hvad det handler om. Koden i linket køres i administratorens browser og stjæler sessionens cookie, hvorefter angriberen kan tilgå konsollen med samme rettigheder og ændre serverkonfigurationen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-11708?
I er ramt, hvis I kører IBM WebSphere Application Server version 9.0 eller 8.5 og bruger den indbyggede administrationskonsol med det tilhørende hjælpesystem. Tjek jeres serverversion i konsollens systeminformation eller hos jeres it-driftsleverandør.
Kan vi vente til weekenden med at opdatere?
Ja, hvis administrationskonsollen ikke er tilgængelig fra internettet, og administratorer er informeret om ikke at klikke på ukendte links. Er konsollen eksponeret direkte mod internettet, bør I begrænse adgangen nu og planlægge opdateringen inden for de næste to uger.
Kræver angrebet, at angriberen har login til vores system?
Nej, angriberen behøver ikke egen adgang til jeres WebSphere-system. Angrebet kræver kun, at en administrator med gyldig session klikker på et forberedt link.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå logfiler for administrationskonsollen for uventede sessioner, ændringer i brugerrettigheder eller konfiguration, som ikke stammer fra jeres egne administratorer i den relevante periode.
Skal vi anmelde dette som en sikkerhedshændelse?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og persondata eller kritiske systemer er blevet påvirket. Er der tale om forebyggende opdatering uden fund af misbrug, er en anmeldelse ikke nødvendig.
Påvirker sårbarheden vores kunders adgang til applikationerne?
Nej, sårbarheden ligger i administrationskonsollen, ikke i de applikationer, som slutbrugere og kunder tilgår gennem WebSphere.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
IBM WebSphere Application Server 9.0, and 8.5 is affected by a cross-site scripting vulnerability in the administrative console’s integrated help system.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.