CVE-2026-67594: Manglende login i Spikster-servere

CVE-2026-67594 er en sårbarhed i styringsplatformen Spikster, der bruges til at oprette og administrere servere. Fejlen kaldes manglende autentificering (CWE-306) og betyder, at et sikkerhedslag, der skal kontrollere login, er skrevet i koden men aldrig sat på de faktiske API-ruter. API er den kanal, systemer bruger til at kommunikere med hinanden. Resultatet er, at omkring 50 endepunkter, altså adgangspunkter i systemet, kan kaldes af hvem som helst uden brugernavn eller adgangskode. Sårbarheden findes i alle versioner op til commit e1cdf8c, som er et referencepunkt i kildekoden for, hvor langt rettelser er nået.

Det rammer virksomheder og kommuner, der selv hoster Spikster til at provisionere, altså oprette og konfigurere, servere. Er administrationsgrænsefladen tilgængelig fra internettet eller fra et bredt internt netværk, er alle installationer op til den nævnte commit ramt, uanset hvilken version af underliggende operativsystem der bruges.

En angriber kan uden login liste og oprette servere, nulstille root-adgangskoder, læse og skrive filer frit på værtsmaskinen samt oprette nye databasebrugere. I praksis giver det fuld kontrol over de servere, Spikster administrerer, og dermed adgang til alle data og systemer, der ligger på dem. For en dansk virksomhed betyder det risiko for datatab, driftsstop og at serverne bruges som springbræt til resten af netværket.

CVSS-score er 9,8 af 10, kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Det er den mest alvorlige type sårbarhed, fordi barrieren for at udnytte den er minimal. Der er ingen bekræftede tilfælde af aktiv udnyttelse endnu, men den lave kompleksitet gør det sandsynligt, at automatiserede scanninger vil finde og forsøge at udnytte åbne installationer.

Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden:

1. Tjek om jeres Spikster-installation svarer til eller er ældre end commit e1cdf8c, og opdatér til en version, hvor autentificeringsmiddleware er koblet på alle API-ruter, så snart en rettelse foreligger.
2. Afskærm administrationsgrænsefladen og API’et fra internettet med det samme, for eksempel via firewall eller VPN, indtil en rettelse er installeret.
3. Skift root-adgangskoder og databasebrugere på alle servere, Spikster administrerer, da de kan være kompromitteret uden spor.
4. Gennemgå logfiler for uventede API-kald, nye databasebrugere eller ukendte filændringer siden systemet blev eksponeret.
5. Overvåg for genoptaget adgang og sæt varsling op på nye brugere eller adgangskodeskift på de administrerede servere.
6. Hent hjælp udefra, hvis I ikke selv kan verificere, om systemet er kompromitteret, eller hvis I ikke har ressourcer til at afskærme og opdatere med det samme.