CVE-2026-34108: Kritisk kommandoinjektion i Guardian
Guardian language-system har en kritisk fejl, der lader angribere uden login køre kommandoer på serveren. Luk adgangen til text.php i dag.
Hvad er det?
CVE-2026-34108 er en sårbarhed i Guardian language-system, hvor programmet sender data fra en webadresse direkte ind i PHP-funktionen exec(), som kører kommandoer på serverens operativsystem. Fejlen sidder i filen text.php og skyldes, at parameteren id fra brugerens forespørgsel ikke bliver renset for specialtegn, før den bruges. En angriber kan tilføje shell-metategn, det er tegn der styrer kommandolinjen, og få serveren til at udføre vilkårlige kommandoer. Sårbarheden kræver ikke login og er dermed åben for alle, der kan nå systemet over netværket.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Guardian language-system, og specifikt filen text.php, som er tilgængelig uden login. Alle installationer, hvor systemet kan nås fra internettet eller fra et internt netværk, er udsat. NVD angiver ingen konkret version, så det må antages, at problemet findes i alle udgaver, indtil leverandøren siger andet.
Hvad kan ske?
En angriber kan fra internettet, uden brugernavn eller adgangskode, få serveren til at køre egne kommandoer. I praksis betyder det, at angriberen kan læse og ændre filer, oprette nye brugere, installere skadelig kode eller bruge serveren som springbræt ind i resten af netværket. For en dansk virksomhed eller kommune kan det føre til datatab, driftsstop eller at serveren bliver brugt til at angribe andre.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, den højeste kategori, kritisk. Angrebet kræver ikke login, kræver ikke at en bruger klikker på noget, og kan udføres over netværket med lav kompleksitet. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men fordi angrebet er enkelt at udføre og systemet ikke kræver adgang på forhånd, må risikoen for udnyttelse vurderes som høj.
Hvad gør jeg nu?
Hvis I bruger Guardian language-system, bør I handle i dag.
- Undersøg om leverandøren har udsendt en opdateret version, der retter fejlen i text.php, og installér den.
- Er der ingen opdatering endnu, så blokér adgang til text.php fra internettet, for eksempel via firewall eller webserverkonfiguration.
- Gennemgå serverens logfiler for usædvanlige forespørgsler til text.php med mistænkelige tegn i id-parameteren.
- Isolér serveren fra resten af netværket, hvis systemet ikke er forretningskritisk at holde tilgængeligt lige nu.
- Skift adgangskoder og undersøg systemet for tegn på kompromittering, hvis logfilerne viser mistænkelig aktivitet.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere om systemet er ramt, eller hvis I finder tegn på indbrud.
Luk adgangen i dag
Vi anbefaler at lukke adgangen til text.php fra internettet i dag, og at opdatere til en rettet version, så snart leverandøren udsender en. Det er ikke forsvarligt at vente til en fast opdateringscyklus, fordi angrebet kan udføres uden login og med enkle midler. Er systemet ikke tilgængeligt fra internettet og har ingen adgang fra usikre netværk, kan I vente med selve opdateringen til næste planlagte vindue, men bør stadig begrænse adgangen i mellemtiden.
Tidslinje
Konkrete eksempler
En kommunes interne sprogsystem
En dansk kommune bruger Guardian language-system til at styre sprogindstillinger på en intern portal. En ekstern angriber finder systemet tilgængeligt på internettet, sender en forespørgsel til text.php med et manipuleret id-parameter og får derved adgang til at køre kommandoer på serveren. Angriberen bruger adgangen til at installere skadelig kode og forsøger at bevæge sig videre til andre systemer på samme netværk.
Ofte stillede spørgsmål
Hvordan ved vi, om vores system er ramt?
Tjek om jeres installation af Guardian language-system indeholder filen text.php, og om den kan nås uden login fra internettet eller fra andre dele af netværket. Er det tilfældet, er systemet sårbart.
Kan vi vente til weekenden med at rette det?
Nej. Sårbarheden kræver ikke login og kan findes og udnyttes automatisk af scanninger, der løbende leder efter sårbare systemer på internettet. Vent ikke med at begrænse adgangen.
Findes der en opdatering fra leverandøren?
NVD-oplysningerne angiver ikke en rettet version. Kontakt leverandøren for at få bekræftet, om der findes en opdateret version, og hold øje med leverandørens meddelelser i mellemtiden.
Skal vi anmelde dette til myndighederne?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata er kompromitteret. Så skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler om databrud.
Kan vi bare lukke porten til systemet i stedet for at opdatere?
Ja, som midlertidig løsning kan I blokere adgang til text.php eller hele systemet fra internettet, indtil en rettelse fra leverandøren er på plads.
Hvad er exec() og shell-metategn?
exec() er en PHP-funktion, der kører kommandoer direkte på serverens operativsystem. Shell-metategn er specialtegn, som semikolon eller lodret streg, der kan bruges til at koble flere kommandoer sammen i en enkelt forespørgsel.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Guardian language-system passes the id GET parameter directly into a PHP exec() call in text.php (line 15) without sanitization: exec(“php jobs/text.php “.$login_session.” “.$_GET[‘id’].” …”). No authentication is required. An unauthenticated remote attacker can append shell metacharacters to execute arbitrary OS commands on the server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.