CVE-2026-65008: Kritisk RCE-sårbarhed i Grav CMS

CVE-2026-65008 er en sårbarhed i Grav, et flatfile-baseret CMS (indholdsstyringssystem uden database), der bruges til at bygge og drive websites. Fejlen ligger i funktionen Blueprint::dynamicData(), som sender en tekststreng med et klassenavn og en metode direkte videre til PHP-funktionen call_user_func_array() uden at kontrollere, om den er tilladt. Fordi formularmodulet i Grav sender sideindhold gennem denne funktion, kan en person med adgang til at redigere sider indsætte en skadelig kommando i en sides metadata. Kommandoen bliver derefter kørt som webserverens bruger, hver gang siden bliver vist, også for besøgende der ikke er logget ind. Sårbarheden er kategoriseret som CWE-94, kodeindsprøjtning, hvor angriberens tekst bliver fortolket og kørt som programkode i stedet for at blive behandlet som almindeligt indhold.

Sårbarheden rammer websites, der kører Grav CMS version 2.0.4 eller ældre. Den er særlig relevant for organisationer, der har flere personer med redigeringsrettigheder til sider, herunder rettigheden admin.pages eller api.pages.write, og hvor formularmodulet er aktivt. Det gælder danske virksomheder og foreninger, der bruger Grav til deres hjemmeside eller intranet, ofte fordi det er valgt som et lettere alternativ til større CMS-løsninger.

En bruger med begrænset redaktørrettighed, eller en angriber der har fået adgang til en sådan konto, kan indsætte en skjult kommando i en sides indhold. Kommandoen kører automatisk med webserverens fulde rettigheder, når siden vises, og giver dermed reelt fuld kontrol over serveren: læsning og ændring af filer, adgang til databaser og mulighed for at plante yderligere skadelig kode. For en dansk virksomhed betyder det risiko for datalæk, defacement af hjemmesiden eller at serveren bruges som springbræt til resten af netværket.

CVSS-scoren er 9,8 ud af 10, kritisk. Selve udnyttelsen kræver ingen login og ingen brugerhandling: enhver, der besøger den forberedte side, udløser koden. Det, der gør sårbarheden alvorlig, er kombinationen: en bruger med relativt begrænsede rettigheder kan plante angrebet, og derefter kører det automatisk mod alle besøgende uden yderligere adgang. Der er ikke rapporteret aktiv udnyttelse i det åbne, men sårbarheden er offentligt beskrevet med den præcise angrebssti, hvilket gør den let at reproducere.

Følgende trin lukker hullet og begrænser skaden, hvis det allerede er misbrugt.

1. Opdatér Grav til version 2.0.7 eller nyere. Det fjerner selve fejlen i Blueprint::dynamicData().
2. Gennemgå alle brugere med rettigheden admin.pages eller api.pages.write, og fjern eller begræns adgang for konti, der ikke har et klart behov.
3. Gennemse eksisterende sider og deres metadata for usædvanlige callable-direktiver eller ukendte funktionskald, især hvis formularmodulet er i brug.
4. Begræns adgang til admin-panelet til kendte IP-adresser eller via VPN, og aktivér totrinsbekræftelse på alle redaktørkonti.
5. Tjek server- og webserverlogs for uventede kommandokald eller nye filer i den periode, hvor systemet har kørt version 2.0.4 eller ældre.
6. Kontakt os, hvis I ikke selv kan afklare, om systemet har været udsat, eller hvis opdateringen kræver tilpasning af tilpassede plugins.