CVE-2026-56705: Kritisk RCE-fejl i Adminer før 5.4.3
Adminer før 5.4.3 har en kritisk fejl (CVE-2026-56705), der lader angribere uden login køre kode på serveren. Opdatér til 5.4.3.
Hvad er det?
CVE-2026-56705 er en sårbarhed i Adminer, et populært PHP-baseret værktøj til at administrere databaser via browseren. Fejlen sidder i det felt, hvor man indtaster servernavnet. Adminer renser ikke feltet ordentligt, før det bruges til at opbygge en forbindelsesstreng (en DSN) til databasen. Det gør det muligt for en angriber at indsætte ekstra parametre med semikolon, blandt andet TraceFile og TraceOn, som får Adminer til at skrive en logfil med PHP-kode direkte i webroden. Når filen bagefter tilgås i browseren, bliver koden udført på serveren.
Hvem rammer det?
Alle, der kører Adminer i en version ældre end 5.4.3, og hvor Adminer kan tilgås fra internettet eller fra et internt netværk angriberen har adgang til. Det gælder typisk udviklingsservere, staging-miljøer og produktionssystemer, hvor Adminer er lagt op til databasehåndtering og glemt eller efterladt tilgængeligt. Både virksomheder med egne webhoteller og kommuner med selvhostede databaseløsninger kan være berørt.
Hvad kan ske?
En angriber kan uden brugernavn eller adgangskode få fuld kontrol over den server, hvor Adminer kører. Det giver adgang til at læse, ændre og slette data i alle databaser, installere bagdøre, sprede sig videre til andre systemer på netværket og i sidste ende lægge grunden til afpresning eller datalækage. Da der ikke kræves login eller brugerinteraktion, kan angrebet automatiseres og udføres i stor skala mod servere, der er synlige på internettet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen godkendelse (PR:N), ingen handling fra en bruger (UI:N), og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplyst aktiv udnyttelse på offentliggørelsesdatoen, men den offentliggjorte teknik er detaljeret nok til, at et fungerende angreb kan bygges hurtigt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér Adminer til version 5.4.3 eller nyere på alle servere, hvor det er installeret.
- Kan opdateringen ikke ske med det samme, så spær adgang til Adminer med firewall eller IP-begrænsning, så kun kendte administratorer kan nå det.
- Fjern Adminer fra internetfacing servere, hvis det ikke er nødvendigt der, og flyt det bag VPN.
- Gennemgå webserverens logfiler for usædvanlige forespørgsler mod adminer.php med semikolon i parametre eller forespørgsler på nye .php-filer i webroden.
- Skift adgangskoder til databaser, hvis I finder tegn på misbrug, og gennemgå databaserne for uautoriserede ændringer.
- Kontakt ekstern hjælp, hvis I finder spor af kompromittering, eller hvis I ikke selv kan verificere, om opdateringen er slået igennem korrekt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Adminer til 5.4.3 så hurtigt som muligt, især hvis værktøjet er tilgængeligt uden for jeres interne netværk. Det er kun forsvarligt at vente, hvis Adminer allerede er spærret bag firewall eller VPN, og kun kan nås af betroede administratorer. Er I i tvivl om, hvor Adminer kører i jeres miljø, bør I lave en hurtig gennemgang af alle web- og databaseservere, før I beslutter jer for at vente.
Tidslinje
Konkrete eksempler
Glemt Adminer på webhotel
En dansk webshop har fået sin database sat op af et webbureau, der lagde Adminer op til lejligheden og siden glemte at fjerne den. Filen ligger stadig tilgængelig på domænet uden yderligere beskyttelse. En angriber finder adminer.php ved en automatisk scanning, udnytter sårbarheden til at skrive en bagdør i webroden, og får dermed adgang til kundedata og betalingsoplysninger i webshoppens database.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Adminer installeret i en version ældre end 5.4.3, og hvis den kan tilgås af uvedkommende, enten fra internettet eller fra et internt netværk. Tjek versionsnummeret i Adminers login-skærm eller i filens kildekode.
Kan vi vente til weekenden med at opdatere?
Hvis Adminer er tilgængelig fra internettet, bør I ikke vente. Er den derimod allerede spærret bag firewall eller VPN, kan opdateringen planlægges til førstkommende vedligeholdelsesvindue.
Hvordan tjekker vi, om vi allerede er kompromitteret?
Gennemgå webserverens logfiler for forespørgsler mod adminer.php med usædvanlige tegn som semikolon i server-feltet, og se efter nye eller uventede PHP-filer i webroden. Find I sådanne filer, bør de behandles som en aktiv kompromittering.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at sårbarheden er udnyttet, og at persondata er blevet tilgået eller ændret. I så fald kan I have pligt til at anmelde det til Datatilsynet inden for 72 timer efter reglerne om databeskyttelse.
Er det nok bare at opdatere til nyeste version?
Opdatering til 5.4.3 eller nyere lukker selve fejlen. Vi anbefaler dog også at begrænse adgangen til Adminer med firewall eller VPN som ekstra beskyttelseslag, da administrationsværktøjer som dette generelt ikke bør være åbne mod internettet.
Hvad hvis vi ikke selv har lagt Adminer op?
Adminer bliver ofte installeret af udviklere eller webbureauer i forbindelse med et projekt og efterladt på serveren. Tag kontakt til jeres udvikler eller hostingpartner for at få bekræftet, om værktøjet stadig er nødvendigt, og fjern det, hvis det ikke bruges.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adminer before 5.4.3 fails to sanitize the server field before constructing a PDO DSN string, allowing unauthenticated attackers to inject ODBC parameters via semicolons. Attackers can inject TraceFile and TraceOn parameters to write PHP code to the web root, achieving remote code execution when the trace file is accessed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.