CVE-2026-82082: Kritisk kommandoinjektion i NUMail
NUMail fra Green-Computing har en kritisk sårbarhed (CVE-2026-82082), hvor angribere uden login kan køre kommandoer på serveren. Afskærm systemet nu.
Hvad er det?
NUMail, en mailserver-løsning fra Green-Computing, har en sårbarhed af typen OS command injection (CWE-78). Det betyder, at systemet ikke renser input korrekt, før det sender det videre til serverens kommandolinje. En angriber kan derfor sende specielt udformede data, der bliver udført som kommandoer på den underliggende server, i stedet for at blive behandlet som almindelig tekst eller data. Sårbarheden kræver ikke login og kan udnyttes over netværket, hvilket gør den til en af de mest alvorlige typer fejl, et system kan have.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører NUMail fra Green-Computing som deres mailserver. Det gælder både virksomheder, der selv hoster løsningen internt, og de, der har den eksponeret mod internettet for at kunne sende og modtage post udefra. NVD-oplysningerne angiver ikke specifikke versionsnumre, så alle installationer bør betragtes som potentielt ramt, indtil producenten oplyser andet.
Hvad kan ske?
En angriber, der udnytter sårbarheden, kan køre vilkårlige kommandoer på serveren med de rettigheder, mailserveren kører under. I praksis kan det føre til fuld overtagelse af serveren, tyveri af al e-mailkorrespondance, installation af skadelig kode eller ransomware, og brug af serveren som springbræt til resten af netværket. For en dansk virksomhed betyder det risiko for datalæk, driftsstop og i værste fald et brud, der skal anmeldes til Datatilsynet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), ingen handling fra en bruger (UI:N), og kan udføres over netværket med lav teknisk kompleksitet (AC:L). Alle tre grundlæggende sikkerhedsegenskaber, fortrolighed, integritet og tilgængelighed, kan blive kompromitteret fuldt ud. NVD-oplysningerne nævner ikke, at sårbarheden aktivt udnyttes i angreb ved offentliggørelsen, men den lave kompleksitet og fraværet af krav til login gør den til et oplagt mål for automatiserede angreb, så snart detaljerne er kendt.
Hvad gør jeg nu?
Handlingerne herunder er ordnet efter, hvad der lukker hullet hurtigst.
- Kontakt Green-Computing eller jeres leverandør for at få bekræftet, om der findes en opdatering, der retter sårbarheden, og installer den.
- Findes der ingen opdatering endnu, skal NUMail-serveren isoleres fra internettet eller placeres bag en firewall, der blokerer al indgående trafik fra ukendte kilder.
- Gennemgå logfiler for mailserveren for tegn på uventede kommandoer eller processer, der er startet af mailtjenesten.
- Skift adgangskoder og nøgler, der er gemt eller tilgængelige på serveren, hvis der er tegn på kompromittering.
- Segmenter mailserveren netværksmæssigt, så et eventuelt indbrud ikke automatisk giver adgang til resten af jeres systemer.
- Få hjælp fra en ekstern sikkerhedspartner, hvis I ikke selv har ressourcer til at isolere serveren eller undersøge logfiler i dag.
Afskærm eller opdatér inden for 24 timer
Vi anbefaler, at I straks tjekker, om NUMail fra Green-Computing er i brug hos jer, og om serveren er tilgængelig fra internettet. Er den det, bør I afskærme adgangen med det samme, uanset om en opdatering findes eller ikke. Det er kun i orden at vente, hvis serveren allerede er fuldt isoleret fra internettet og eksterne netværk. Er I i tvivl om, hvordan I bedst lukker adgangen uden at stoppe jeres mailtrafik helt, hjælper vi gerne med en hurtig vurdering.
Tidslinje
Konkrete eksempler
Mailserver eksponeret mod internettet
En dansk SMV kører NUMail som deres mailserver og har den tilgængelig fra internettet, så medarbejdere kan tilgå e-mail hjemmefra. En angriber sender en specielt udformet forespørgsel til serveren, der udnytter kommandoinjektionen, og får derved kørt egne kommandoer på serveren. Angriberen opretter en bagdør, læser al virksomhedens e-mailkorrespondance og bruger serveren som springbræt til at komme videre ind i virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger NUMail?
Tjek jeres liste over mailservere og softwareoversigt hos IT-drift eller leverandør. NUMail er udviklet af Green-Computing, så søg efter dette navn i jeres serverdokumentation eller spørg den leverandør, der har opsat jeres mailsystem.
Er vi ramt, hvis serveren kun bruges internt?
Sårbarheden kræver netværksadgang, men ikke login. Er serveren tilgængelig fra internettet, er risikoen størst. Er den kun tilgængelig fra jeres interne netværk, er risikoen lavere, men ikke nul, hvis en angriber først får fodfæste internt via andre veje.
Kan vi vente til weekenden med at gøre noget?
Nej, ikke hvis serveren er tilgængelig fra internettet. Sårbarheden kræver ikke login og er nem at udnytte, så tidsvinduet fra offentliggørelse til automatiserede angreb kan være kort.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder tegn på, at sårbarheden faktisk er udnyttet, og at persondata er blevet tilgået eller lækket. Selve sårbarheden udløser ikke i sig selv en anmeldelsespligt, men et konstateret brud gør.
Hvad gør vi, hvis der ikke findes en opdatering endnu?
Isoler serveren fra internettet, indtil en opdatering findes. Overvej at flytte mailfunktionen til en anden, patchet løsning, hvis isolationen går ud over jeres drift for længe.
Er sårbarheden allerede udnyttet af angribere?
Der er ved offentliggørelsen ikke oplysninger om aktiv udnyttelse i angreb. Det kan dog ændre sig hurtigt, da sårbarheden er nem at udnytte og ikke kræver login.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
NUMail developed by Green-Computing has an OS Command Injection vulnerability. Unauthenticated remote attackers can inject arbitrary OS commands and execute them on the server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.