CVE-2026-82042: Kritisk adgangsfejl i UTMStack
UTMStack før version 11.2.16 har en fejl, der giver fuld administratoradgang uden login. Opdatér nu.
Hvad er det?
Sårbarheden (CVE-2026-82042) ligger i UTMStack, et system til overvågning af it-sikkerhed, som mange virksomheder bruger til at opdage angreb. Fejlen skyldes manglende adgangskontrol, kendt som CWE-306. Systemet har et internt filter, der accepterer en bestemt nøgleværdi i en header kaldet Utm-Internal-Key. Hvis nøglen matcher en miljøvariabel på serveren, får afsenderen fuld administratoradgang til alle API-funktioner, uden at skulle logge ind eller fremvise en brugerkonto. Filteret begrænser ikke adgangen til bestemte endepunkter, tjekker ikke nøglen på en sikker måde, og logger ikke forsøg. Dermed kan en angriber, der kender eller gætter nøglen, oprette konti, styre brugere, trække data ud og ændre sikkerhedsregler uden at efterlade spor.
Hvem rammer det?
Alle, der kører UTMStack i version ældre end 11.2.16. Det gælder både virksomheder, der selv driver platformen, og it-leverandører og sikkerhedscenter (SOC), der bruger UTMStack til at overvåge kunders netværk. Da UTMStack ofte har samlet adgang til logs fra firewalls, servere og endepunkter, rammer sårbarheden selve det system, der skal opdage angreb.
Hvad kan ske?
En angriber, der får fat i den interne nøgle, kan logge ind som administrator uden brugerkonto eller adgangskode. Herfra kan vedkommende oprette nye administratorkonti, slette eller ændre sikkerhedsregler, så angreb ikke bliver opdaget, og trække følsomme data ud, herunder logs med oplysninger om netværk, brugere og hændelser. For en dansk virksomhed betyder det i praksis, at selve alarmsystemet mod cyberangreb kan blive slukket eller manipuleret, samtidig med at et andet angreb finder sted.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen adgangsrettigheder og ingen handling fra en bruger. Det kan udføres over netværket, forudsat at angriberen kender eller kan skaffe den interne nøgleværdi. Der er ikke oplyst om aktiv udnyttelse i NVD-dataen, men sårbarhedens enkle natur og den høje adgang, den giver, gør den attraktiv for angribere, så snart detaljerne er offentligt kendt.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, hvis nøglen allerede er kompromitteret.
- Opdatér UTMStack til version 11.2.16 eller nyere, hvor fejlen er rettet.
- Skift værdien af miljøvariablen INTERNAL_KEY til en ny, tilfældig værdi, så en eventuelt lækket nøgle ikke længere virker.
- Gennemgå adgangslogs og brugerkonti for nyoprettede eller uventede administratorkonti.
- Tjek om sikkerhedsregler i systemet er blevet ændret uden kendt årsag.
- Begræns netværksadgang til UTMStack-administrationsfladen til kun betroede ip-adresser, indtil opdateringen er gennemført.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang eller er i tvivl om, hvorvidt I er berørt.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer UTMStack til version 11.2.16 eller nyere hurtigst muligt og samtidig udskifter den interne nøgle. Fordi UTMStack typisk fungerer som jeres overvågningssystem, bør I behandle denne sårbarhed med højeste prioritet, da et kompromitteret overvågningssystem gør det svært at opdage andre angreb. Det er kun forsvarligt at vente, hvis adgangen til administrationsfladen allerede er fuldstændig lukket for internettet og begrænset til et betroet, internt netværk.
Tidslinje
Konkrete eksempler
SOC-leverandør mister kontrol over overvågningen
En dansk it-leverandør bruger UTMStack til at overvåge flere kunders netværk for angreb. En angriber finder den interne nøgleværdi, logger ind som administrator uden brugerkonto og slukker for alarmer på en bestemt kundes system. Herefter gennemfører angriberen et ransomware-angreb hos kunden, uden at det bliver opdaget, fordi overvågningssystemet selv er blevet manipuleret.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger en sårbar version af UTMStack?
Tjek versionsnummeret i jeres UTMStack-installation. Alle versioner før 11.2.16 er berørt. Kontakt jeres it-leverandør, hvis I er usikre på, hvem der drifter platformen.
Kan vi vente med opdateringen til efter weekenden?
Vi fraråder det. Sårbarheden kræver ingen login og kan udnyttes over netværket, hvis angriberen kender den interne nøgle. Jo længere systemet står åbent, jo større er risikoen for, at nøglen bliver fundet eller lækket.
Er vi allerede blevet ramt?
Gennemgå logs for uventede administratorkonti, ændringer i sikkerhedsregler eller usædvanlig trafik til UTMStack-API’et. Mangler I logning af forsøg på at bruge Utm-Internal-Key-headeren, kan det være svært at se tegn på misbrug, hvilket understreger behovet for opdateringen.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I konstaterer, at persondata er blevet tilgået eller trukket ud, skal I vurdere anmeldepligt efter databeskyttelsesforordningen og eventuelt underrette Datatilsynet inden for 72 timer. Kontakt en juridisk eller sikkerhedsmæssig rådgiver for en konkret vurdering.
Rækker det at ændre den interne nøgle uden at opdatere?
Nej. At skifte nøglen begrænser skaden fra en eventuel lækket nøgle, men selve fejlen i filteret, der mangler sti-begrænsning og sikker sammenligning, er først rettet i version 11.2.16.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
UTMStack before 11.2.16 contains an authentication bypass vulnerability that allows remote attackers to gain full administrative API access by presenting a valid Utm-Internal-Key header matching the INTERNAL_KEY environment variable value, which the InternalApiKeyFilter accepts for any endpoint without path restriction, constant-time comparison, rate limiting, or audit logging. Attackers who obtain the key value can authenticate without a user account or JWT to create accounts, manage users, exfiltrate data, and modify security rules.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.