CVE-2026-6223: Godkendelsesfejl i BiHayat App

CVE-2026-6223 er en sårbarhed i BiHayat App, en borgerserviceapp udviklet til Bahçelievler kommune i Tyrkiet. Fejlen skyldes, at systemet ikke begrænser antallet af loginforsøg, en svaghed kendt som CWE-307. Det betyder, at en angriber kan afprøve tusinder af adgangskoder mod en brugerkonto uden at blive blokeret eller forsinket. Metoden kaldes brute force og bruges til automatisk at gætte sig til korrekte loginoplysninger. Fordi angrebet kan udføres over internettet uden login og uden at brugeren skal foretage sig noget, kan det gennemføres helt automatisk med simple værktøjer.

Sårbarheden findes i BiHayat App fra version 2.1.7 og frem til 07.09.2026, altså alle kendte versioner på offentliggørelsesdatoen. Appen er udviklet specifikt til Bahçelievler kommune og er derfor ikke bredt udbredt i Danmark. Sårbarheden er dog relevant for danske it-ansvarlige som eksempel på, hvad man skal kigge efter i egne login-løsninger, borgerportaler og kundeapps, hvis man selv udvikler eller får udviklet lignende systemer uden indbygget beskyttelse mod gentagne loginforsøg.

En angriber, der finder en gyldig brugerkonto, kan uden begrænsning afprøve adgangskoder, indtil den rigtige findes. Lykkes det, får angriberen fuld adgang til kontoen og de data, den giver adgang til, herunder personoplysninger. Fordi integritet også er ramt, kan angriberen ændre data i kontoen, mens tilgængeligheden kun er svagt påvirket. For en dansk virksomhed med en lignende sårbar loginløsning betyder det risiko for datalæk, misbrug af kundekonti og potentielt en anmeldelsespligtig sikkerhedsbrist.

CVSS-score er 9,4 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen særlige rettigheder og ingen handling fra brugeren, og det kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed og integritet er vurderet højt påvirket, mens tilgængelighed kun er lavt påvirket. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men den lave kompleksitet gør, at et angreb kan sættes op hurtigt, hvis en angriber finder frem til den.

Leverandøren har ikke reageret på henvendelser om sårbarheden, og der findes ingen officiel opdatering. Derfor må I selv indføre kompenserende kontroller, hvis I bruger BiHayat App eller en lignende løsning uden loginbeskyttelse.

1. Indfør konto-lockout eller stigende forsinkelse efter få forkerte loginforsøg, enten i applikationen selv eller via en foranstillet firewall (WAF, web application firewall).
2. Aktivér to-faktor-godkendelse, hvis appen eller platformen understøtter det, så en gættet adgangskode ikke er nok til at få adgang.
3. Overvåg loginlogs for mønstre med mange fejlede forsøg fra samme IP-adresse eller mod samme konto, og blokér disse automatisk.
4. Begræns adgangen til login-endepunktet til kendte IP-områder eller via VPN, hvis det er praktisk muligt for jeres brugere.
5. Kontakt leverandøren eller den, der har udviklet løsningen, og bed om en tidsplan for en rettelse. Får I ikke svar, bør I overveje en alternativ løsning.
6. Hent ekstern hjælp, hvis I ikke selv kan vurdere, om jeres systemer har samme svaghed, eller hvis I mangler kompetencer til at sætte kompenserende kontroller op.