CVE-2026-11712: XSS-fejl i IBM WebSphere admin-konsol
Sikkerhedsfejl i administrationskonsollen på IBM WebSphere Application Server 9.0 og 8.5 kan bruges til at kapre en logget-ind administrators session. Opdatér konsollen.
Hvad er det?
Sårbarheden er en cross-site scripting-fejl (CVE-2026-11712), en type sikkerhedshul hvor en angriber kan få egen kode til at køre i browseren hos en anden bruger. Fejlen sidder i hjælpesystemet i administrationskonsollen på IBM WebSphere Application Server, det værktøj it-afdelingen bruger til at styre applikationsserveren. Fordi konsollen kører med administratorrettigheder, kan koden bruges til at læse eller ændre data, som administratoren har adgang til, hvis administratoren først lokkes til at klikke på et forberedt link.
Hvem rammer det?
Sårbarheden findes i IBM WebSphere Application Server version 9.0 og 8.5, herunder profiler hvor administrationskonsollen er installeret og tilgængelig. Det rammer virksomheder og kommuner, der driver Java EE-applikationer på WebSphere, ofte i den finansielle sektor, den offentlige sektor og hos leverandører af fagsystemer, hvor WebSphere fortsat er driftsplatform for ældre og forretningskritiske systemer.
Hvad kan ske?
En angriber kan sende et link til en administrator, for eksempel via e-mail eller en intern besked. Klikker administratoren på linket, mens vedkommende er logget ind i konsollen, kan angriberens kode køre med administratorens rettigheder. Det kan give angriberen adgang til administratorens session og dermed mulighed for at læse eller ændre konfigurationen af applikationsserveren, herunder adgangsoplysninger og forretningskritiske indstillinger.
Hvor alvorligt er det?
CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og kan udføres over netværket med lav kompleksitet, men det kræver, at en administrator klikker på et forberedt link, mens vedkommende er logget ind i konsollen. Konsekvensen er høj for fortrolighed og integritet, men fejlen påvirker ikke systemets tilgængelighed. Der er ikke oplyst om aktiv udnyttelse af fejlen i offentligheden.
Hvad gør jeg nu?
Det vigtigste er at lukke selve hullet i administrationskonsollen. Herefter kan I begrænse eksponeringen, mens opdateringen rulles ud.
- Installér den fix pack eller interim-rettelse fra IBM, der retter fejlen i administrationskonsollens hjælpesystem, for jeres version af WebSphere Application Server.
- Begræns adgangen til administrationskonsollen til et internt netværk eller VPN, så den ikke er tilgængelig fra internettet.
- Informér administratorer om, at de ikke skal klikke på links i e-mails eller beskeder, mens de er logget ind i konsollen, indtil rettelsen er installeret.
- Gennemgå adgangslogs for administrationskonsollen for usædvanlig aktivitet i perioden op til opdateringen.
- Kontakt en ekstern leverandør, hvis I ikke selv har mulighed for at installere IBM’s fix pack eller vurdere risikoen for jeres konkrete opsætning.
Opdatér inden for en uge
Vi anbefaler, at I installerer IBM’s rettelse til administrationskonsollen så hurtigt som muligt og i mellemtiden lukker konsollen af for adgang fra internettet. Det er kun forsvarligt at vente, hvis administrationskonsollen allerede er isoleret til et internt, betroet netværk, og administratorer er instrueret i ikke at klikke på eksterne links, mens de er logget ind.
Tidslinje
Konkrete eksempler
Kapret administratorsession i en kommunal it-afdeling
En it-medarbejder i en dansk kommune er logget ind i WebSphere-administrationskonsollen for at foretage vedligeholdelse. Medarbejderen modtager en intern besked med et link, der ser ud som en hjælpeside i konsollen, og klikker på det. Angriberens kode kører i browseren med medarbejderens rettigheder og giver adgang til at ændre serverens konfiguration, uden at medarbejderen bemærker det.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører IBM WebSphere Application Server version 9.0 eller 8.5 med administrationskonsollen installeret og aktiv. Tjek versionsnummeret i konsollen eller i konfigurationsfilerne på serveren.
Kan vi vente til weekenden med at opdatere?
Hvis administrationskonsollen kun kan nås fra et internt, betroet netværk, kan I vente til en planlagt vedligeholdelsesvindue. Er konsollen tilgængelig fra internettet eller et bredt internt netværk, bør I lukke adgangen ned nu og opdatere hurtigst muligt.
Kræver angrebet, at angriberen har adgang til vores system?
Nej, angrebet kræver ikke login. Det kræver derimod, at en logget-ind administrator klikker på et forberedt link. Uden det klik kan angrebet ikke udføres.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå adgangslogs for administrationskonsollen for usædvanlige sessioner eller ændringer i konfigurationen, som administratorerne ikke selv har foretaget. Kontakt en sikkerhedsleverandør, hvis I finder tegn på uautoriserede ændringer.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I har konkrete tegn på, at fejlen er blevet udnyttet og at persondata eller kritiske systemer er blevet tilgået uautoriseret. Er der ingen tegn på misbrug, er det en almindelig sikkerhedsopdatering, der skal håndteres i jeres normale patch-proces.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
IBM WebSphere Application Server 9.0, and 8.5 is affected by a cross-site scripting vulnerability in the administrative console help system.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.