CVE-2026-70553: Kritisk RCE-fejl i MaxSite CMS
Kritisk sikkerhedshul i MaxSite CMS lader angribere uden login køre vilkårlig kode. Luk installations-endpointet nu.
Hvad er det?
CVE-2026-70553 er en sårbarhed i MaxSite CMS, et system til at bygge og drive hjemmesider. Fejlen findes i installations-endpointet, den del af systemet der bruges til at sætte CMS’et op første gang. Endpointet forbliver tilgængeligt, efter installationen er afsluttet. En angriber kan sende et forfalsket POST-kald med et felt kaldet db_dbprefix, der indeholder et enkelt anførselstegn. Det bryder ud af en tekststreng i konfigurationsfilen database.php, så angriberens egen PHP-kode bliver skrevet ind i filen. Koden bliver kørt af webserveren ved hver efterfølgende forespørgsel. Det er kodeinjektion (CWE-94) og kræver hverken login eller nogen handling fra en bruger.
Hvem rammer det?
Alle virksomheder og organisationer, der driver en hjemmeside på MaxSite CMS, hvor installations-endpointet ikke er blevet fjernet eller spærret efter opsætning. Det gælder typisk mindre virksomheder, foreninger og enkeltmandsvirksomheder, der har fået sat en hjemmeside op og ikke har ryddet op bagefter. NVD angiver ingen specifikke versionsnumre, så alle installationer bør gennemgås.
Hvad kan ske?
En angriber kan opnå varig, uautoriseret kodekørsel på serveren som den bruger, webserveren kører under. I praksis betyder det, at angriberen kan læse og ændre alt indhold på hjemmesiden, stjæle kundedata og adgangskoder, plante en webshell til fremtidig adgang, eller bruge serveren som springbræt til resten af netværket. Fordi koden skrives direkte ind i en konfigurationsfil, overlever adgangen genstart af serveren og forbliver aktiv, indtil filen bliver renset manuelt.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, kun at angriberen kan sende en almindelig webforespørgsel til serveren. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, fordi angriberen kan læse, ændre og forstyrre systemet fuldstændigt. NVD har ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet, men fejlen er let at udnytte og kræver ingen specialviden.
Hvad gør jeg nu?
Der findes endnu ikke en officiel rettelse fra leverandøren. Følgende skridt lukker hullet, indtil en opdatering foreligger.
- Fjern eller spær adgangen til installations-endpointet permanent, for eksempel ved at slette installationsmappen eller blokere adgang til den på webserverniveau. Det lukker selve indgangen for angrebet.
- Gennemgå konfigurationsfilen application/config/database.php for uventet PHP-kode, der ikke hører hjemme der.
- Skift alle adgangskoder, API-nøgler og andre hemmeligheder, som CMS’et bruger, da de kan være kompromitteret.
- Gennemgå webserverens logfiler for POST-forespørgsler til install-endpointet for at vurdere, om systemet allerede er ramt.
- Følg med i leverandørens meddelelser om en rettet version, og opdatér så snart den er tilgængelig.
- Søg ekstern hjælp, hvis I finder tegn på uautoriseret kode i konfigurationsfilerne, eller hvis I er i tvivl om, hvorvidt installations-endpointet er lukket korrekt.
Luk installations-endpointet i dag
Vi anbefaler, at I straks fjerner eller spærrer adgangen til installations-endpointet på alle MaxSite CMS-installationer, da det er det eneste, der reelt lukker hullet, indtil leverandøren udsender en rettelse. Vent ikke til weekenden med denne opgave, da angrebet ikke kræver login og kan udføres af automatiserede scanninger. Det er kun forsvarligt at afvente, hvis installationsmappen allerede er fjernet, og I har bekræftet det ved en teknisk gennemgang.
Tidslinje
Konkrete eksempler
Glemt installationsmappe hos en dansk håndværksvirksomhed
En mindre håndværksvirksomhed fik for et par år siden bygget deres hjemmeside i MaxSite CMS af en ekstern udvikler, som aldrig fjernede installationsmappen. En automatiseret scanning finder det åbne install-endpoint og sender en forfalsket forespørgsel med et ondsindet db_dbprefix-felt. Koden skrives ind i databasefilens konfiguration, og angriberen får varig adgang til serveren, som senere bruges til at sende spam og udsende falske fakturaer til virksomhedens kunder.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger MaxSite CMS?
Tjek jeres hjemmesides administrationspanel eller spørg jeres webhotel eller udvikler, hvilket CMS hjemmesiden kører på. Ligger der en mappe kaldet install eller installation på serveren, er det et tegn på, at installationsprocessen ikke er blevet ryddet op efter opsætning.
Er vi ramt, hvis vi allerede har slettet installationsmappen?
Hvis installationsmappen er slettet, kan angriberen ikke længere nå det sårbare endpoint, og risikoen er lukket for fremadrettede forsøg. I bør dog stadig tjekke konfigurationsfilen for tegn på tidligere kompromittering, hvis mappen først blev fjernet for nylig.
Kan vi vente til weekenden med at rette det?
Nej. Angrebet kræver hverken login eller brugerhandling og kan udføres automatisk af scanningsværktøjer, som løbende leder efter sårbare installationer. Vi anbefaler at lukke installations-endpointet samme dag, sårbarheden opdages.
Skal vi anmelde hændelsen, hvis vi finder tegn på indbrud?
Hvis I finder bevis for, at persondata er blevet tilgået eller ændret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen over for Datatilsynet inden for 72 timer. Er I i tvivl, bør I søge juridisk eller teknisk rådgivning hurtigt.
Hvad koster det at vente med at lukke hullet?
Jo længere installations-endpointet står åbent, desto større er risikoen for, at nogen finder og udnytter det, da fejlen er offentligt kendt og let at afprøve. Konsekvensen kan række fra en defaced hjemmeside til fuld overtagelse af serveren og tab af kundedata.
Findes der en officiel opdatering, vi kan installere?
På offentliggørelsestidspunktet er der ikke registreret en officiel rettelse fra leverandøren. Indtil da er det at fjerne eller spærre installations-endpointet den eneste effektive løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MaxSite CMS contains a remote code execution vulnerability that allows unauthenticated attackers to inject arbitrary PHP code into the application configuration file by submitting crafted POST requests to the install endpoint after installation is complete. Attackers can supply a malicious db_dbprefix value containing a single quote to break out of a PHP string literal in application/config/database.php, appending attacker-controlled PHP statements that are executed by the web server on every subsequent request, resulting in persistent unauthenticated remote code execution as the web-server process user.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.