CVE-2026-34114: Kritisk fejl i Guardian language-system
Kritisk sikkerhedsfejl i Guardian language-system lader angribere køre kommandoer på serveren uden login. Opdatér eller isolér systemet nu.
Hvad er det?
CVE-2026-34114 er en fejl i Guardian language-system, hvor filen translate_text.php sender parameteren id direkte videre til en systemkommando via PHP-funktionen exec() uden at rense inputtet først. Fejltypen kaldes command injection (CWE-78) og betyder, at en angriber kan indsætte specialtegn i webadressen og dermed få serveren til at udføre helt andre kommandoer end tilsigtet. Der kræves ingen login eller adgangskode, og angrebet kan udføres over internettet med et enkelt kald til den sårbare fil.
Hvem rammer det?
Sårbarheden findes i filen jobs/translate_text.php i Guardian language-system. Alle installationer, der eksponerer denne fil på nettet, er berørt, uanset hvem der bruger systemet, da der ikke kræves autentificering. Virksomheder, der har Guardian language-system tilgængeligt via en webserver uden yderligere adgangsbegrænsning, bør betragte sig som ramt.
Hvad kan ske?
En angriber kan overtage serveren fuldstændigt: læse og ændre data, installere skadelig software, oprette bagdøre eller bruge serveren som springbræt til andre systemer på netværket. For en dansk virksomhed betyder det typisk driftsstop, risiko for datalæk og et krav om at anmelde bruddet til Datatilsynet, hvis persondata er involveret.
Hvor alvorligt er det?
CVSS-score 9,8 af 10, som er den højeste alvorlighedsgrad. Angrebet kræver ikke login (PR:N), ingen handling fra en bruger (UI:N), og det kan udføres over netværket med lav kompleksitet (AC:L). Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er endnu ikke rapporteret aktiv udnyttelse i Danmark, men fejlen er offentligt beskrevet, hvilket øger risikoen for, at angribere hurtigt bygger automatiserede angreb.
Hvad gør jeg nu?
Handl i denne rækkefølge for at lukke hullet og begrænse skaden:
- Opdatér Guardian language-system til en version, hvor input til translate_text.php valideres og renses, så snart leverandøren udgiver en rettelse.
- Kan I ikke opdatere med det samme, så blokér adgang til jobs/translate_text.php udefra via firewall eller webserverkonfiguration, indtil rettelsen er på plads.
- Gennemgå logs for usædvanlige forespørgsler til translate_text.php med id-parametre, der indeholder tegn som ; | & eller $( for at afklare, om systemet allerede er kompromitteret.
- Isolér den ramte server fra resten af netværket, hvis I finder tegn på indbrud, og skift alle adgangskoder og nøgler, der er gemt eller brugt på serveren.
- Kontakt en sikkerhedsrådgiver for en teknisk gennemgang, hvis I er i tvivl om, hvorvidt systemet er blevet udnyttet, eller hvis I ikke har ressourcer til selv at håndtere oprydning og hærdning.
Opdatér eller isolér inden 24 timer
Vi anbefaler, at I straks afskærer offentlig adgang til jobs/translate_text.php, mens I afventer en officiel rettelse fra leverandøren af Guardian language-system. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da sårbarheden kan udnyttes uden login og med et enkelt webkald. Har I ikke selv overblik over, hvor systemet er eksponeret, bør I hurtigt få en ekstern gennemgang af netværket.
Tidslinje
Konkrete eksempler
Uautoriseret adgang til kundeportal hos dansk virksomhed
En mindre dansk virksomhed bruger Guardian language-system til at oversætte indhold på sin kundeportal. En angriber finder den sårbare fil via en automatisk scanning og indsætter en kommando i id-parameteren, som giver adgang til serverens filsystem. Herfra henter angriberen kundedata og installerer et program, der giver fortsat adgang til systemet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Guardian language-system?
Undersøg jeres webservere og applikationer for en mappe eller sti med jobs/translate_text.php. Kontakt jeres leverandør eller udvikler, hvis I er i tvivl om, hvilke systemer der indeholder Guardian-komponenten.
Kan vi vente til efter weekenden med at rette dette?
Nej. Fejlen kræver ingen login og kan udnyttes automatisk af scanninger, der leder efter sårbare servere på internettet. Vi anbefaler at blokere adgang til den sårbare fil samme dag, I opdager problemet.
Er der en officiel opdatering, vi kan installere?
På offentliggørelsesdatoen er der ikke registreret en officiel rettelse fra leverandøren. Indtil da er blokering af adgang til filen den mest sikre løsning.
Hvordan ser vi, om vi allerede er blevet angrebet?
Gennemgå webserverens logfiler for kald til translate_text.php med id-parametre, der indeholder specialtegn som semikolon, lodret streg eller dollartegn. Uventede processer eller nye brugerkonti på serveren er også tegn på indbrud.
Skal vi anmelde dette til Datatilsynet?
Hvis I finder tegn på, at angribere har fået adgang til persondata via denne sårbarhed, skal bruddet anmeldes til Datatilsynet senest 72 timer efter, I bliver bekendt med det.
Rammer det også vores skybaserede installation?
Ja, sårbarheden ligger i selve applikationskoden og er uafhængig af, om systemet kører lokalt eller i skyen. Alle installationer med den sårbare fil eksponeret er berørt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Guardian language-system passes the id GET parameter directly into a PHP exec() call in translate_text.php (line 18) without sanitization: exec(“php jobs/translate_text.php “.$login_session.” “.$_GET[‘id’].” …”). No authentication is required. An unauthenticated remote attacker can append shell metacharacters to execute arbitrary OS commands on the server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.