CVE-2026-43641: Kritisk fejl i Softaculous Virtualizor
Uautoriseret angriber kan køre kommandoer som root i Virtualizor. Opdatér til 3.2.9 Patch 9 med det samme.
Hvad er det?
CVE-2026-43641 er en sårbarhed i styringsprogrammet Softaculous Virtualizor, som bruges til at administrere VPS-servere, altså virtuelle private servere hos hosting-udbydere og it-afdelinger. Fejlen er en OS-kommandoinjektion (CWE-78), en sårbarhedstype hvor programmet sender brugerens input direkte videre til systemets kommandolinje uden at rense det først, så en angriber kan få sine egne kommandoer udført. Konkret ligger fejlen i billing-modulets håndtering af feltet billing_data. Værdien i uid-feltet sendes urenset videre til funktionen proc_open() via en intern funktion kaldet vexec(), og en angriber kan derved omgå login helt og sende skadelige kommandoer, som udføres med de højeste rettigheder på serveren.
Hvem rammer det?
Sårbarheden rammer alle installationer af Softaculous Virtualizor før version 3.2.9 (Patch 9) og version 3.0.0. Det gælder hosting-udbydere, webbureauer og it-afdelinger, der bruger Virtualizor til at oprette og administrere VPS-instanser for egne eller kunders systemer. Fordi Virtualizor styrer selve fysiske eller virtuelle værtsservere, rammer sårbarheden ikke kun én kunde, men potentielt alle VPS’er, der ligger på den samme host.
Hvad kan ske?
En angriber kan uden login få fuld kontrol over serveren som root-bruger, den højeste administratorrettighed i Linux-systemer. Det betyder adgang til alle VPS-instanser på samme host, mulighed for at læse og ændre kundedata, installere afpresningsprogrammer eller bruge serveren som platform til yderligere angreb mod andre systemer. For en dansk hosting-udbyder kan det betyde tab af alle kunders data på en gang og ansvar for at anmelde bruddet til hver enkelt kunde.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login (PR:N) og ingen brugerhandling (UI:N), og det kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen for fortrolighed, integritet og tilgængelighed er alle sat til høj, fordi angriberen får fuld kontrol over serveren. Der er ikke bekræftet aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men beskrivelsen indeholder så detaljerede tekniske oplysninger om, hvordan angrebet konstrueres, at det må forventes, at et fungerende angrebskode hurtigt bliver tilgængeligt.
Hvad gør jeg nu?
Gør følgende i den nævnte rækkefølge:
- Opdatér Virtualizor til version 3.2.9 (Patch 9) eller nyere. Det lukker sårbarheden.
- Kan opdateringen ikke ske med det samme, så blokér adgang til billing-modulets endpoint fra internettet, indtil opdateringen er installeret.
- Gennemgå logfiler for usædvanlige POST-forespørgsler mod billing_data-feltet og uid-parametre.
- Skift adgangskoder og root-nøgler på alle servere, der har kørt Virtualizor, hvis der er tegn på uautoriseret adgang.
- Kontrollér samtlige VPS-instanser på hosten for uautoriserede ændringer eller nye brugerkonti.
- Kontakt en sikkerhedsspecialist, hvis I finder tegn på indbrud, eller hvis I er i tvivl om, om opdateringen er installeret korrekt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Virtualizor til 3.2.9 (Patch 9) med det samme, da sårbarheden kan udnyttes uden login og giver angriberen fuld kontrol over serveren og alle tilhørende VPS-instanser. Det er ikke forsvarligt at vente til en fast opdateringscyklus eller weekenden, fordi risikoen for total overtagelse er reel fra offentliggørelsen. Er opdateringen allerede installeret, kan I nøjes med at gennemgå logfiler for tegn på tidligere misbrug.
Tidslinje
Konkrete eksempler
Hosting-udbyder mister kontrol over alle kundeservere
En mindre dansk hosting-udbyder bruger Virtualizor til at administrere VPS-servere for flere kunder. En angriber sender en manipuleret POST-forespørgsel til billing-modulet uden at logge ind og får root-adgang til host-serveren. Fra den position får angriberen adgang til samtlige kunders VPS-instanser, læser kundedata og installerer afpresningsprogrammer på flere servere samtidig.
Ofte stillede spørgsmål
Er vi ramt af sårbarheden?
I er ramt, hvis I kører Softaculous Virtualizor i en version før 3.2.9 (Patch 9) eller version 3.0.0 til at administrere VPS-servere. Log ind i Virtualizor’s administrationspanel og se versionsnummeret under systemoplysninger.
Hvordan tjekker vi, om vi bruger en sårbar version?
Gå ind i Virtualizor’s admin-panel og se versionsnummeret, som normalt vises på oversigtssiden eller under systeminformation. Er versionen ældre end 3.2.9 Patch 9, eller er den 3.0.0, er systemet sårbart.
Kan vi vente til weekenden med at opdatere?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over internettet med lav teknisk kompleksitet. Det taler for at opdatere inden for det næste døgn, ikke ved næste planlagte vedligeholdelsesvindue.
Påvirker sårbarheden også vores kunders VPS'er?
Ja. Fordi angrebet giver root-adgang til selve host-serveren, får angriberen dermed også adgang til alle virtuelle servere, der ligger på samme host, uanset hvem der ejer dem.
Skal vi anmelde det til Datatilsynet, hvis vi bliver udnyttet?
Hvis persondata er blevet tilgængelige for en uautoriseret part som følge af angrebet, skal det vurderes efter reglerne om anmeldelse af sikkerhedsbrud. Vi anbefaler at dokumentere hændelsen og søge juridisk rådgivning hurtigt, hvis I finder tegn på kompromittering.
Hvad gør vi, hvis vi allerede er kompromitteret?
Isolér den berørte server fra netværket, bevar logfiler til undersøgelse, og kontakt en sikkerhedsspecialist for at få hjælp til at fastslå omfanget, inden systemet genoprettes eller renses.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an OS command injection vulnerability in the billing module handler that allows unauthenticated remote attackers to execute arbitrary commands as root by bypassing authentication through specific parameter combinations. Attackers can deserialize a crafted billing_data POST field and inject shell payloads through the uid field, which is passed unmodified to proc_open() via vexec(), yielding complete control of the host and all managed VPS instances.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.