CVE-2026-55203: Alvorlig fejl i HAProxy forklaret

HAProxy er et meget udbredt stykke software, der fordeler webtrafik mellem servere (en såkaldt load balancer og reverse proxy). En fejl i versioner op til og med 3.4.0 gør, at et tal i software-koden kan ‘løbe over’ (integer overflow — når et tal bliver større end computeren kan håndtere og nulstilles til 0). Det sker specifikt i håndteringen af FastCGI-protokollen, som bruges til at sende forespørgsler videre til f.eks. PHP-applikationer. Resultatet er, at HAProxy mister overblikket over, hvilke datapakker der hører til hvilke svar, og det kan udnyttes af en ondsindet backend-server til at manipulere trafikken.

Fejlen rammer dig, hvis din virksomhed bruger HAProxy som mellemmand (proxy eller load balancer) foran webapplikationer der kører via FastCGI — typisk PHP-baserede systemer som WordPress, Drupal eller hjemmeudviklede løsninger. Det er særligt relevant hvis:

• Du hoster din egen webshop eller hjemmeside på egne servere eller i en sky-infrastruktur.
• Din IT-leverandør bruger HAProxy i din infrastruktur.
• Du bruger en hostingløsning, hvor HAProxy indgår som en del af arkitekturen.

Har du ingen FastCGI-backends bag HAProxy, er du ikke i umiddelbar risiko.

En angriber, der kontrollerer eller har kompromitteret en FastCGI-backend-server (altså en server bag HAProxy), kan udnytte fejlen til at:

• Response smuggling: Indsmugle falske HTTP-svar, så dine brugere modtager manipuleret indhold — f.eks. fejlagtige betalingssider eller phishing-sider der ser legitime ud.
• Fejlrouting: Få forespørgsler fra én bruger til at ende med en anden brugers svar, hvilket kan lede til utilsigtet datalæk.
• Hukommelseskorruption: I værste fald kan fejlen medføre ustabilitet eller åbne for yderligere angreb mod selve HAProxy-processen.

Angrebet kræver adgang til backend-laget, men kræver hverken login eller brugerinteraktion, og det kan udføres over netværket.

CVE’en er vurderet til 7.5 (Alvorlig) på CVSS-skalaen (en international standard for sårbarhedssværhedsgrad fra 0–10). Kompleksiteten er høj, hvilket betyder at angrebet kræver specifikke betingelser, men til gengæld kræves der hverken login eller brugerhandling. Integriteten (dvs. korrektheden af data og svar) er vurderet som højt truet, mens fortrolighed og tilgængelighed er lavere risici. Samlet set er det en sårbarhed, der bør tages alvorligt — særligt fordi den kan misbruges til at manipulere, hvad dine kunder og medarbejdere ser i browseren.

Følg disse trin for at håndtere sårbarheden:

1. Find ud af om du bruger HAProxy: Spørg din IT-ansvarlige eller leverandør om HAProxy indgår i din infrastruktur, og hvilken version der kører.
2. Opdatér HAProxy: Rettelsen er tilgængelig via commit 5985276 i HAProxy’s kildekode. Opdatér til en version der inkluderer denne rettelse — kontakt din leverandør hvis du er usikker på, hvordan du gør.
3. Vurdér dine FastCGI-backends: Tjek om de servere, der kommunikerer med HAProxy via FastCGI, er sikre og ikke kan kompromitteres af uvedkommende.
4. Isolér backend-netværket: Sørg for at backend-servere (dem bag HAProxy) ikke er tilgængelige direkte fra internettet, og at netværksadgang er begrænset til kun det nødvendige.
5. Overvåg trafik og logs: Hold øje med usædvanlige mønstre i HAProxy-logfiler, f.eks. uventede fejlkoder eller mærkelig routing-adfærd.