CVE-2026-82041: Kritisk fejl i UTMStack
Enhver logget ind bruger i UTMStack kan køre kommandoer med rod-rettigheder på overvågede servere. Opdatér til 11.2.16.
Hvad er det?
CVE-2026-82041 er en sårbarhed i sikkerhedsplatformen UTMStack, der bruges til at overvåge servere og klienter for sikkerhedshændelser. Fejlen ligger i funktionen UTMIncidentCommandWebsocket.processCommand(), som håndterer kommandoer sendt til destinationen /command/{hostname}. Platformen tjekker ikke, om brugeren har rettigheder til at sende kommandoer, før den videresender dem via gRPC, en kommunikationsprotokol mellem server og agent, til de agenter, der kører på de overvågede systemer. Fejltypen kaldes manglende autorisationstjek (CWE-862): systemet verificerer, at man er logget ind, men ikke om man må udføre handlingen.
Hvem rammer det?
Alle virksomheder og kommuner, der kører UTMStack i en version før 11.2.16, er berørt. Det gælder uanset om agenterne er installeret på Windows-servere, Linux-servere eller klientmaskiner. Enhver konto med adgang til UTMStack-brugerfladen, uanset tildelt rolle, kan udnytte fejlen, så selv et analytiker- eller gæstelogin udgør en risiko.
Hvad kan ske?
En bruger med den laveste adgang i UTMStack kan sende operativsystemkommandoer til enhver agent, platformen er forbundet til. Da agentprocesser typisk kører som root på Linux eller SYSTEM på Windows, kan kommandoerne give fuld kontrol over de overvågede servere. I praksis betyder det, at et enkelt kompromitteret UTMStack-login kan føre til, at angriberen overtager domænecontrollere, databaseservere eller andre kritiske systemer, som platformen overvåger.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, kritisk. Angrebet kræver kun et gyldigt login med lave rettigheder (PR:L), ingen handling fra andre brugere (UI:N), og kan udføres over netværket uden kompleksitet (AC:L). Konsekvensen er maksimal på alle tre parametre: fortrolighed, integritet og tilgængelighed vurderes alle som høje, fordi angriberen kan læse, ændre og stoppe data og tjenester på de ramte servere. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Fejlen lukkes ved at opdatere UTMStack. Følg nedenstående punkter i rækkefølge.
- Opdatér UTMStack til version 11.2.16 eller nyere på alle installationer.
- Gennemgå logs for /command/{hostname}-destinationen for at se, om kommandoer er sendt af konti, der ikke normalt administrerer agenter.
- Nulstil adgangskoder for alle UTMStack-brugere, hvis I finder mistænkelig aktivitet eller ikke kan udelukke misbrug.
- Gennemgå rettighederne for eksisterende brugerkonti, og fjern adgang for konti, der ikke har brug for den.
- Kontrollér, at agenterne på kritiske servere ikke kører med unødvendigt høje rettigheder, hvor det er muligt.
- Hent hjælp udefra, hvis I ikke selv kan verificere, om sårbarheden er udnyttet, eller hvis I mangler ressourcer til at opdatere på tværs af jeres serverpark.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer UTMStack til version 11.2.16 eller nyere hurtigst muligt, da angrebet kun kræver et almindeligt brugerlogin og giver adgang til rod-rettigheder på overvågede servere. Det er ikke forsvarligt at vente, fordi UTMStack typisk er forbundet til jeres mest kritiske infrastruktur. Mens opdateringen planlægges, bør I begrænse antallet af aktive UTMStack-konti til det strengt nødvendige.
Tidslinje
Konkrete eksempler
Kompromitteret analytikerkonto giver adgang til domænecontroller
En dansk kommune bruger UTMStack til at overvåge sine servere, herunder domænecontrolleren. En medarbejder med en almindelig analytikerkonto får sin adgangskode stjålet via phishing. Angriberen logger ind i UTMStack og udnytter sårbarheden til at sende kommandoer direkte til agenten på domænecontrolleren, som kører med SYSTEM-rettigheder. Dermed får angriberen fuld kontrol over kommunens centrale it-infrastruktur gennem et værktøj, der var tiltænkt at opdage den slags angreb.
Ofte stillede spørgsmål
Hvordan ved vi, om vores UTMStack er sårbar?
Tjek versionsnummeret i jeres UTMStack-installation. Alle versioner før 11.2.16 er berørt af sårbarheden.
Kan vi vente med at opdatere til weekenden?
Vi anbefaler ikke at vente. Fejlen kræver kun et almindeligt brugerlogin, og UTMStack er ofte forbundet til de mest kritiske servere i organisationen. Opdatér så snart et vedligeholdelsesvindue kan findes, gerne samme dag.
Skal vi undersøge, om vi allerede er ramt?
Ja. Gennemgå logs for kommandoer sendt til /command/{hostname}-destinationen, og se efter kommandoer afsendt af konti, der normalt ikke administrerer agenter. Vær særligt opmærksom på nye processer eller brugerkonti oprettet på overvågede servere.
Skal vi anmelde hændelsen, hvis vi finder spor af misbrug?
Hvis I finder tegn på, at sårbarheden er udnyttet, og persondata eller kritiske systemer er berørt, bør I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt kontakte Center for Cybersikkerhed.
Er alle brugere i UTMStack en risiko, eller kun administratorer?
Alle brugere udgør en risiko. Sårbarheden rammer netop fordi UTMStack ikke tjekker, om en bruger har de nødvendige rettigheder, så selv en konto med lav adgang kan udnytte fejlen.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Begræns straks antallet af aktive brugerkonti i UTMStack til det absolut nødvendige, og overvåg logs tæt for mistænkelig kommandoaktivitet, indtil opdateringen er gennemført.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
UTMStack before 11.2.16 contains a missing authorization vulnerability in UTMIncidentCommandWebsocket.processCommand(), the handler mapped to the /command/{hostname} STOMP destination, where no role check or command allowlist is applied before forwarding supplied commands. Any authenticated user, regardless of role, can send arbitrary operating-system commands over gRPC to any connected agent, resulting in command execution on monitored endpoints where agent processes commonly run as root or SYSTEM.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.