CVE-2026-58123: Kritisk RCE-fejl i Hermes WebUI
Hermes WebUI kan udnyttes uden login til at køre vilkårlige kommandoer på serveren (CVE-2026-58123). Opdatér til 0.51.788 eller nyere.
Hvad er det?
Hermes WebUI, et webbaseret administrationsværktøj med indbygget terminal, indeholder en sårbarhed af typen CWE-306, som betyder at kritiske funktioner kan tilgås uden at man logger ind først. I de sårbare versioner kan en angriber tilgå API-endepunkterne, altså adgangspunkterne i programmets grænseflade, til den indbyggede terminal uden brugernavn eller adgangskode. Ved at sende fire på hinanden følgende HTTP-forespørgsler kan angriberen oprette en session, tilknytte en PTY-shell, som er en virtuel terminal der styrer en kommandolinje, og derefter skrive og udføre vilkårlige kommandoer. Kommandoerne køres med samme rettigheder som serverprocessen, hvilket i praksis giver fuld kontrol over den bagvedliggende server.
Hvem rammer det?
Sårbarheden rammer alle installationer af Hermes WebUI i versioner før 0.51.788. Det gælder virksomheder og kommuner, der bruger Hermes WebUI som administrationsgrænseflade for servere, netværksudstyr eller udviklingsmiljøer, hvor den indbyggede terminalfunktion er tilgængelig fra netværket. Er webinterfacet eksponeret mod internettet eller tilgængeligt fra et bredt internt netværk, er risikoen særligt stor.
Hvad kan ske?
En angriber, der kan nå Hermes WebUI over netværket, kan opnå fuld kommandoudførelse på serveren uden at kende et eneste password. I praksis betyder det, at angriberen kan læse og ændre data, installere skadelig kode, oprette bagdøre eller bruge serveren som springbræt til resten af netværket. For en dansk virksomhed kan det føre til datatab, driftsstop og i værste fald spredning af ransomware til andre systemer på netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på det ramte system. Der er offentliggjort en detaljeret teknisk beskrivelse af angrebsforløbet, hvilket gør det forholdsvis enkelt for en angriber at gengive angrebet.
Hvad gør jeg nu?
Det vigtigste er at opdatere til en rettet version, så adgangen til terminal-API’et igen kræver login.
- Opdatér Hermes WebUI til version 0.51.788 eller nyere med det samme.
- Kan I ikke opdatere endnu, så fjern eller bloker adgang til Hermes WebUI fra internettet og afgræns adgangen til et betroet administrationsnetværk.
- Gennemgå logfiler for uventede sessioner eller kommandoer på terminal-endepunkterne for at afklare, om systemet allerede er kompromitteret.
- Skift adgangskoder og nøgler på den ramte server, hvis I finder tegn på uautoriseret adgang.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på kompromittering, eller hvis I ikke selv kan gennemføre opdateringen inden for kort tid.
Opdatér inden 24 timer
Vi anbefaler, at I opdaterer Hermes WebUI til version 0.51.788 eller nyere så hurtigt som muligt, da sårbarheden kan udnyttes uden login og giver fuld kontrol over serveren. Er opdatering ikke muligt i dag, bør adgangen til systemet begrænses til et betroet netværk, indtil opdateringen er gennemført. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, hvis systemet er tilgængeligt fra internettet eller et bredt internt netværk.
Tidslinje
Konkrete eksempler
Eksponeret administrationsserver i en dansk IT-afdeling
En mindre dansk virksomhed bruger Hermes WebUI til at administrere en udviklingsserver og har åbnet webinterfacet mod internettet for at kunne tilgå det på farten. En angriber finder serveren via en automatiseret internetscanning, sender de fire uautoriserede forespørgsler og får en fungerende kommandolinje på serveren. Herfra installeres skadelig kode, og angriberen bruger serveren som afsæt til at kortlægge resten af virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af Hermes WebUI?
Tjek versionsnummeret i Hermes WebUI’s administrationspanel eller i installationsfilerne. Alle versioner før 0.51.788 er sårbare.
Er sårbarheden allerede udnyttet mod danske virksomheder?
Der er ikke offentligt dokumenteret aktiv udnyttelse mod danske virksomheder på offentliggørelsesdatoen, men den tekniske beskrivelse er så detaljeret, at angrebet er nemt at gengive. Vi anbefaler derfor at behandle risikoen som reel.
Kan vi vente med opdateringen til efter weekenden?
Det anbefaler vi ikke. Sårbarheden kræver ingen login og kan udnyttes automatisk af scanninger på internettet. Er systemet tilgængeligt fra internettet, bør adgangen begrænses samme dag, selv hvis selve opdateringen først kan gennemføres senere.
Skal vi anmelde dette til myndighederne?
Hvis I konstaterer, at persondata er blevet tilgået eller ændret uden tilladelse, skal I anmelde det til Datatilsynet inden for 72 timer. Er der ikke sket en konkret kompromittering med persondata, er der ikke krav om anmeldelse, men det bør stadig undersøges og dokumenteres.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Fjern adgangen til Hermes WebUI fra internettet, og begræns den til et lukket administrationsnetværk eller VPN, indtil opdateringen kan gennemføres.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå adgangslogs for anmodninger til terminal-API’ets endepunkter, især sessions- og PTY-relaterede forespørgsler fra ukendte IP-adresser. Se også efter uventede processer eller nye brugerkonti på den bagvedliggende server.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Hermes WebUI before 0.51.788 contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute arbitrary shell commands by accessing the embedded terminal API endpoints without credentials. Attackers can create a session, attach a PTY shell, and write arbitrary commands through the terminal input endpoint to achieve full command execution as the server process user via four sequential unauthenticated HTTP requests.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.