CVE-2026-34106: Kritisk kommandoinjektion i Guardian language-system
Sårbarhed i Guardian language-system tillader angribere at køre kommandoer på serveren uden login. Opdatér eller fjern subtitles.php nu.
Hvad er det?
CVE-2026-34106 er en kommandoinjektion i Guardian language-system, et sprogmodul brugt til at generere undertekster på websider. Fejlen sidder i filen subtitles.php, hvor parameteren id fra webadressen sendes direkte videre til systemets kommandolinje via PHP-funktionen exec(), uden at input bliver renset. Kommandoinjektion betyder, at en angriber kan tilføje sit eget systemkommando til den tekst, serveren forventer, og dermed få serveren til at udføre vilkårlige kommandoer. Da der ikke kræves login eller adgangskode, kan hvem som helst på internettet sende en forespørgsel til subtitles.php og få serveren til at afvikle egne kommandoer, for eksempel til at oprette en bagdør, læse filer eller installere skadelig kode.
Hvem rammer det?
Sårbarheden rammer alle installationer af Guardian language-system, hvor filen subtitles.php er tilgængelig fra internettet. Det gælder typisk websteder, portaler eller streamingtjenester, der bruger modulet til at generere eller vise undertekster automatisk. Er I i tvivl om, hvorvidt jeres platform benytter dette sprogmodul, bør I undersøge jeres filstruktur for stien jobs/subtitle_rendering.php og subtitles.php.
Hvad kan ske?
En angriber kan overtage webserveren fuldstændigt, læse og ændre databaser, stjæle kundedata eller bruge serveren som springbræt til resten af jeres netværk. For en dansk virksomhed betyder det i praksis risiko for datalæk, driftsstop og potentielt krav om anmeldelse til Datatilsynet, hvis personoplysninger er eksponeret.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendt bruger, ingen adgangskode og ingen handling fra en almindelig bruger. Det kan udføres over netværket alene ved at sende en forespørgsel til den sårbare adresse. Kombinationen af lav kompleksitet og fuld kontrol over fortrolighed, integritet og tilgængelighed gør dette til en af de mest alvorlige sårbarhedstyper, der findes.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er udnyttet:
- Opdatér Guardian language-system til en version, hvor input til subtitles.php bliver renset, eller fjern filen fra produktionsmiljøet, hvis funktionen ikke er kritisk.
- Blokér adgang til subtitles.php via webserverens konfiguration eller en firewall, indtil opdateringen er på plads.
- Gennemgå serverens logfiler for usædvanlige forespørgsler mod subtitles.php, især med tegn som semikolon, pipe eller backtick i id-parameteren.
- Undersøg om serveren allerede indeholder uautoriserede filer, brugerkonti eller processer, der kan tyde på tidligere udnyttelse.
- Skift adgangskoder og nøgler, der kan have været tilgængelige for en angriber med kommandoadgang til serveren.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på indbrud, eller hvis I ikke selv kan verificere, at systemet er lukket korrekt.
Opdatér inden for 24 timer
Vi anbefaler, at I straks blokerer eller fjerner adgangen til subtitles.php, da der ikke findes en officiel opdatering fra leverandøren på nuværende offentliggørelsestidspunkt. Det er ikke forsvarligt at vente, da sårbarheden kan udnyttes af enhver på internettet uden login. Har I ikke mulighed for at fjerne funktionen, bør I straks lade en teknisk rådgiver vurdere, om der kan lægges en midlertidig beskyttelse omkring filen.
Tidslinje
Konkrete eksempler
Uautoriseret adgang til webhotel via undertekstmodul
En mindre dansk medievirksomhed bruger Guardian language-system til at generere undertekster på deres videoportal. En angriber finder subtitles.php og indsætter en systemkommando i id-parameteren, hvorved serveren afvikler kommandoen og opretter en bagdør. Angriberen får dermed adgang til kundedatabasen og kan læse følsomme oplysninger, uden at nogen bemærker det, før logfilerne bliver gennemgået uger senere.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres webside eller platform benytter Guardian language-system og har filen subtitles.php tilgængelig fra internettet. Tjek jeres filstruktur eller spørg jeres udbyder, om systemet er i brug.
Hvordan tjekker vi, om vi er sårbare?
Se efter filerne subtitles.php og jobs/subtitle_rendering.php på jeres webserver. Findes de, og kan de tilgås uden login fra en browser, er I sårbare.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden kræver ingen adgangskode og kan udnyttes automatisk af scanningsværktøjer. Vi anbefaler at blokere adgangen samme dag, den bliver opdaget.
Findes der en officiel opdatering?
Der er ikke oplyst en officiel rettelse fra leverandøren på offentliggørelsestidspunktet. Indtil da bør adgangen til subtitles.php begrænses eller filen fjernes.
Skal vi anmelde det til Datatilsynet?
Det skal I gøre, hvis I finder konkrete tegn på, at personoplysninger er blevet tilgået eller kopieret af en uautoriseret part. Er I i tvivl, bør I få en juridisk eller teknisk vurdering af hændelsen.
Kan vi selv lukke hullet uden ekstern hjælp?
Ja, hvis I har teknisk personale, der kan blokere filen via webserverens konfiguration eller fjerne den fra produktionsmiljøet. Har I ikke selv kompetencerne, bør I hurtigt indhente hjælp udefra.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Guardian language-system passes the id GET parameter directly into a PHP exec() call in subtitles.php (line 19) without sanitization: exec(“php jobs/subtitle_rendering.php “.$login_session.” “.$_GET[‘id’].” …”). No authentication is required. An unauthenticated remote attacker can append shell metacharacters to the id parameter to execute arbitrary OS commands on the server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.