CVE-2026-44091: Kritisk MQTT-sårbarhed uden login

CVE-2026-44091 er en sårbarhed i systemer, der bruger en MQTT-broker, en central formidler, som sensorer, enheder og applikationer sender korte beskeder igennem. Fejlen betyder, at en angriber uden brugernavn og kodeord kan sende en manipuleret ID-besked til brokeren, som systemet fejlagtigt stoler på. Det får systemet til at oprette en ny post i den centrale systemkonfiguration, uden at nogen har godkendt det. Fejltypen kaldes en tillidsgrænse-overskridelse (CWE-501): systemet behandler data fra en ukendt afsender, som var det en betroet intern kilde.

Sårbarheden rammer virksomheder, der har systemer koblet til en MQTT-broker: typisk produktionsanlæg, bygningsautomation, IoT-sensornetværk og OT-styresystemer, hvor MQTT bruges til at sende måledata og styrekommandoer. Er brokeren tilgængelig fra internettet eller fra et netværk, som angriberen kan nå, er systemet i risikozonen uanset virksomhedens størrelse. Der er ikke oplyst et bestemt produktnavn eller versionsnummer i den offentlige beskrivelse, så I bør afklare med jeres leverandør, om jeres konkrete MQTT-løsning er berørt.

En angriber kan uden login skabe en ny konfigurationspost i systemet, hvilket kan ændre driftsindstillinger, deaktivere funktioner eller overbelaste systemet. I praksis kan det stoppe en produktionslinje, forstyrre bygningsstyring eller gøre overvågningsdata utilgængelige. Der er ingen risiko for at data læses eller stjæles, men integritet og tilgængelighed er direkte i fare: systemet kan blive ustabilt eller helt sat ud af drift.

CVSS-score er 9,1 af 10, kritisk. Angrebet kræver ingen login (PR:N), ingen brugerhandling (UI:N) og kan udføres over netværket (AV:N) med lav teknisk kompleksitet. Det er dermed nemt for en angriber at udnytte, hvis brokeren kan nås udefra. Der er ikke rapporteret aktiv udnyttelse eller offentlig kode til at udnytte fejlen på offentliggørelsesdatoen, men den lave kompleksitet gør, at det kan ændre sig hurtigt.

Gør følgende i den nævnte rækkefølge:

1. Afskær MQTT-brokeren fra internettet og fra netværk, angribere kan nå. Brug firewall eller netværkssegmentering, så kun betroede systemer kan tilgå den.
2. Aktivér autentificering og adgangskontrol på brokeren, hvis det ikke allerede er sat op, så beskeder kun accepteres fra kendte klienter.
3. Kontakt jeres leverandør af MQTT-løsningen for at afklare, om jeres version er berørt, og om der findes en rettelse.
4. Gennemgå systemkonfigurationen for uventede eller ukendte poster, der kan være oprettet uden godkendelse.
5. Overvåg logfiler for uautoriserede forbindelser til brokeren og opsæt alarmering ved nye konfigurationsændringer.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres MQTT-opsætning er eksponeret, eller hvis I mangler ressourcer til at lave netværksafskærmningen.