CVE-2026-56700: Kritisk RCE-fejl i Grav CMS før 2.0.0-beta.2
Grav CMS før 2.0.0-beta.2 har kritiske fejl, der giver fuld kodeudførelse. Opdatér til 2.0.0-beta.2.
Hvad er det?
CVE-2026-56700 er en samling sårbarheder i Grav CMS, et flatfile-baseret indholdsstyringssystem bygget i PHP, der gemmer indhold i filer i stedet for en database. Tre steder i koden (SchedulerJobQueue, FrameworkCacheAdapterFileCache og Session) bruger systemet funktionen unserialize() på data, det ikke selv har kontrol over. Det gør det muligt at lave PHP object injection, hvor en angriber bygger en særlig datastreng, som PHP fejlagtigt genopbygger til skadelige objekter, og derved opnå fuld kodeudførelse på serveren. Derudover kan installation af plugins og temaer misbruges til at indsætte kommandoer i et git clone-kald, og en filtrering i skabelonsproget Twig kan omgås til server-side template injection, hvor angriberens kode køres direkte af skabelonmotoren. Alle fejl er rettet i version 2.0.0-beta.2.
Hvem rammer det?
Det rammer alle, der kører Grav CMS i en version ældre end 2.0.0-beta.2. Det gælder danske virksomheder og foreninger, der bruger Grav som hjemmesideplatform, ofte via webhoteller eller egne servere, samt bureauer, der drifter Grav-installationer for kunder. Kommandoinjektionen kræver, at angriberen har administratoradgang til Grav’s backend, mens deserialiserings- og skabelonfejlene i højere grad kan udnyttes af en angriber uden login.
Hvad kan ske?
En angriber, der udnytter object injection eller skabelonfejlen, kan i praksis overtage serveren, læse og ændre alle filer, installere bagdøre og bruge serveren som afsæt til at angribe resten af netværket. For en dansk virksomhed betyder det typisk, at hjemmesiden bliver ændret eller lagt ned, kundedata og indhold kan lækkes, og serveren kan blive brugt til at sende spam eller angribe andre. Er backend-login allerede kompromitteret, giver kommandoinjektionen en direkte vej til at køre vilkårlige systemkommandoer.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kan ske over netværket, kræver ikke login og kræver ingen handling fra en bruger for de to mest alvorlige dele (deserialisering og skabeloninjektion). Det giver fuld fortrolighed, integritet og tilgængelighed i risiko, altså mulighed for at læse, ændre og lægge systemet ned. Der er ikke oplysninger om, at fejlen er udnyttet i praksis endnu, men fordi Grav CMS er offentligt tilgængeligt kode, kan angrebsmetoden findes af interesserede relativt let.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér Grav CMS til version 2.0.0-beta.2 eller nyere på alle installationer, det er den eneste reelle løsning.
- Gennemgå adgangen til admin-panelet og fjern eller skift adgangskoder for konti, I ikke er sikre på er legitime.
- Begræns, hvem der har administratoradgang, og aktivér to-faktor-login hvis muligt, indtil opdateringen er gennemført.
- Tjek serverlogs for usædvanlig aktivitet omkring plugin- eller tema-installation samt uventede fejl fra unserialize eller Twig.
- Tag en frisk sikkerhedskopi, når opdateringen er verificeret, så I har et rent udgangspunkt.
- Kontakt os eller jeres it-leverandør, hvis I ikke selv kan verificere versionen eller udføre opdateringen inden for kort tid.
Opdatér inden 24-48 timer
Vi anbefaler, at I opdaterer til Grav CMS 2.0.0-beta.2 så hurtigt som muligt, da sårbarheden kræver hverken login eller brugerhandling og giver mulighed for fuld overtagelse af serveren. Det er kun forsvarligt at vente, hvis systemet ikke er tilgængeligt fra internettet og admin-adgangen er strengt begrænset, og selv da bør opdateringen planlægges inden for få dage.
Tidslinje
Konkrete eksempler
Kompromitteret virksomhedshjemmeside via skabeloninjektion
En dansk håndværksvirksomhed bruger Grav CMS til sin hjemmeside uden at have opdateret siden opsætningen. En angriber finder en formularside, der sender brugerdata til skabelonmotoren, og udnytter skabelonfejlen til at køre kode på serveren. Herefter installerer angriberen en bagdør og bruger serveren til at sende spam, uden virksomheden bemærker det før webhotellet lukker kontoen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af Grav CMS?
Log ind i admin-panelet og se versionsnummeret, eller tjek filen system/defines.php i installationen. Alt under 2.0.0-beta.2 er sårbart.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, om jeres hjemmeside er tilgængelig fra internettet. Er den det, bør opdateringen prioriteres inden for et døgn, da fejlen ikke kræver login for at blive udnyttet.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er udnyttet, og persondata er blevet tilgået eller ændret. Så gælder de almindelige regler for underretning til Datatilsynet inden for 72 timer.
Rammer det også vores plugins og temaer?
Selve sårbarheden ligger i Grav’s kernekode, men fejlen i git clone udnyttes netop via installation af plugins og temaer, så tjek også, at disse kommer fra betroede kilder.
Hvad koster det os at vente med opdateringen?
Bliver serveren kompromitteret, kan det medføre nedetid, tab af kundedata og omkostninger til genopbygning og oprydning, som langt overstiger tiden det tager at opdatere nu.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Grav CMS before 2.0.0-beta.2 contains multiple code-execution vulnerabilities. Three unsafe unserialize() calls – in SchedulerJobQueue, FrameworkCacheAdapterFileCache, and Session – deserialize untrusted data without restricting allowed classes, enabling PHP object injection and, via a gadget chain, arbitrary code execution where an attacker controls the serialized input. Additionally, InstallCommand’s git clone operation passes the branch, url, and path parameters into a shell command without escaping, allowing OS command injection via plugin/theme installation (which requires admin access). A Twig security blocklist bypass (server-side template injection) is also present. The issues are fixed in 2.0.0-beta.2.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.