CVE-2026-7861: Kritisk hul i Next4Biz CSM
Kritisk sikkerhedshul i Next4Biz CSM lader angribere køre egen kode uden login. Ingen opdatering findes endnu.
Hvad er det?
Sårbarheden CVE-2026-7861 findes i Next4Biz CSM (Customer Service Management), et system til kundeservice og sagsbehandling. Fejlen ligger i, hvordan systemet håndterer deserialisering, det er processen hvor data gemt i et bestemt format bliver omdannet tilbage til brugbare programobjekter. Next4Biz CSM deserialiserer data fra brugeren uden at kontrollere, om dataen er sikker. Det gør det muligt for en angriber at indsætte og afvikle egen kode på serveren, alene ved at sende specielt udformede data.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Next4Biz CSM til kundeservice, sagshåndtering eller support. Alle versioner frem til og med 7. september 2026 er berørt. Da leverandøren ikke har reageret på henvendelser om sårbarheden, findes der ingen yderligere oplysninger om, hvilke konkrete versionsnumre eller opsætninger der er ekstra udsatte.
Hvad kan ske?
En angriber, der kan sende data til systemet over netværket, kan afvikle vilkårlig kode på serveren uden at have login eller andre rettigheder. Det kan betyde fuld overtagelse af serveren, adgang til kundedata, sagsakter og andre fortrolige oplysninger samt mulighed for at bruge det kompromitterede system som springbræt til andre dele af virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N), kræver ikke at en bruger klikker på noget (UI:N), og kan udføres over netværket (AV:N) med lav kompleksitet (AC:L). Der er ingen kendte tegn på aktiv udnyttelse på offentliggørelsesdatoen, men da leverandøren ikke har svaret og ingen opdatering findes, stiger risikoen for udnyttelse over tid.
Hvad gør jeg nu?
Da leverandøren endnu ikke har udsendt en rettelse, handler de første trin om at afskærme systemet.
- Kontakt Next4Biz og kræv en tidsplan for en sikkerhedsrettelse. Henvis til jeres kontraktforhold og supportaftale, hvis det er relevant.
- Isolér CSM-systemet fra internettet, eller begræns adgangen via firewall til kun betroede IP-adresser.
- Overvåg logs og netværkstrafik for uventede fejl eller usædvanlige forespørgsler til systemet.
- Undersøg om en applikationsfirewall (WAF) kan sættes op til at blokere kendte deserialiseringsmønstre.
- Hent ekstern hjælp, hvis I ikke selv har kapacitet til at isolere systemet eller vurdere om det allerede er kompromitteret.
Isolér systemet nu, ingen opdatering findes
Vi anbefaler, at I isolerer Next4Biz CSM fra offentlig adgang, indtil der findes en opdatering fra leverandøren. Da sårbarheden har en CVSS-score på 9,8 og kan udnyttes uden login over netværket, bør I ikke vente med at begrænse adgangen. Det er ikke forsvarligt at lade systemet stå tilgængeligt for internettet, mens man afventer svar fra leverandøren, og der er på nuværende belæg ingen indikation af, at man kan vente til en fast opdateringscyklus.
Tidslinje
Konkrete eksempler
Uautoriseret adgang til borgerdata i kommunal sagsbehandling
En dansk kommune bruger Next4Biz CSM til at håndtere borgerhenvendelser og sagsakter. En angriber udnytter sårbarheden til at afvikle kode på serveren og får adgang til borgeres personlige oplysninger, herunder CPR-numre og sagshistorik, uden at have logget ind eller på anden måde skulle bekræfte adgang.
Ofte stillede spørgsmål
Er vi ramt?
Hvis I bruger Next4Biz CSM til kundeservice eller sagshåndtering, er I ramt, uanset version, da alle versioner frem til 7. september 2026 er berørt.
Hvordan tjekker vi, om systemet allerede er blevet udnyttet?
Se efter usædvanlige processer, uventede filer på serveren eller unormal netværkstrafik fra CSM-systemet. Er I i tvivl, bør en sikkerhedsspecialist gennemgå logs og servertilstand.
Kan vi vente til weekenden med at reagere?
Nej. Da angrebet ikke kræver login og kan udføres over netværket med lav kompleksitet, bør I begrænse adgangen til systemet så hurtigt som muligt.
Findes der en opdatering fra Next4Biz?
Nej. Leverandøren blev kontaktet forud for offentliggørelsen, men har ikke reageret. Der findes ingen officiel rettelse på offentliggørelsesdatoen.
Skal vi anmelde dette til myndighederne?
Opdager I tegn på, at systemet er blevet udnyttet og persondata kompromitteret, skal I anmelde det til Datatilsynet inden for 72 timer efter GDPR-reglerne.
Hvad gør vi, hvis vi ikke selv kan isolere systemet?
Kontakt en ekstern sikkerhedsrådgiver, der kan hjælpe med at opsætte kompenserende kontroller eller midlertidige beskyttelsesmekanismer, indtil en officiel rettelse findes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Deserialization of untrusted data vulnerability in Next4Biz Information Technologies Inc. CSM (Customer Service Management) allows Code Injection.
This issue affects CSM (Customer Service Management): through 07092026. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.