CVE-2026-8297: Kritisk SQL-indsprøjtning i GisLab
Kritisk SQL-indsprøjtning i GisLab Laboratoriestyringssystem lader angribere stjæle og ændre data uden login. Isolér systemet og kontakt leverandøren nu.
Hvad er det?
CVE-2026-8297 er en sårbarhed i GisLab Laboratory Management System, et system til styring af laboratorieprøver og resultater fra det tyrkiske firma Gis Informatics Engineering Consulting Laboratory R&D and Software Services. Fejlen er en SQL-indsprøjtning, hvor systemet ikke renser data, før de bruges i en databaseforespørgsel. En angriber kan derfor sende specialdesignede tegn ind i et inputfelt og få databasen til at udføre kommandoer, den ikke skulle udføre. Det giver mulighed for at læse, ændre eller slette alle data i databasen, herunder patient- og laboratoriedata, uden at have gyldigt login.
Hvem rammer det?
Sårbarheden rammer GisLab Laboratory Management System i versionerne fra 1.4.03 til og med 08072026. Det er relevant for laboratorier, hospitaler, forskningsinstitutioner og virksomheder, der bruger GisLab til at registrere og udveksle prøveresultater. Da systemet ofte indeholder personhenførbare sundhedsdata, er det særligt kritisk for organisationer, der behandler patient- eller borgerdata under GDPR.
Hvad kan ske?
En angriber kan udnytte sårbarheden over internettet uden at kende noget brugernavn eller kodeord. I praksis kan det betyde, at en dansk klinik eller kommunal laboratorietjeneste får hele sin database med prøveresultater og personoplysninger kopieret, ændret eller slettet. Konsekvensen kan være tabt eller forfalsket data, driftsstop og en anmeldelsespligtig sikkerhedsbrist til Datatilsynet, hvis persondata er involveret.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste kategori, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres direkte over netværket af en ekstern angriber. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning, det vil sige angriberen kan læse, ændre og slå systemet fra. Der er ingen offentlig oplysning om, at sårbarheden aktivt udnyttes endnu, men den lave kompleksitet gør den attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge for at beskytte jeres GisLab-installation:
- Kontakt leverandøren Gis Informatics for at få bekræftet, om der findes en opdateret version efter 08072026, og installér den så hurtigt som muligt.
- Er en opdatering ikke tilgængelig endnu, isolér GisLab-serveren fra internettet og begræns adgang til et lukket internt netværk eller VPN.
- Sæt en webapplikationsfirewall op foran systemet, der kan filtrere typiske SQL-indsprøjtningsmønstre, som en midlertidig beskyttelse.
- Gennemgå logfiler for usædvanlige databaseforespørgsler eller fejlmeddelelser, der kan tyde på forsøg på udnyttelse.
- Tag en frisk backup af databasen og test, at gendannelse virker, inden I går videre med opdatering eller andre ændringer.
- Har I ikke selv kompetencerne til at vurdere eller lappe sårbarheden, bør I hente ekstern sikkerhedshjælp til en hurtig gennemgang af systemet.
Isolér systemet og opdatér inden for få dage
Vi anbefaler, at I straks begrænser netværksadgangen til GisLab-systemet og kontakter leverandøren for en opdateret version, da sårbarheden kan udnyttes uden login og har den højeste alvorlighedsgrad. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da systemet ofte indeholder personhenførbare sundhedsdata. I kan vente med de mindre kritiske trin, som logovervågning og backup-test, hvis I allerede har isoleret systemet fra internettet.
Tidslinje
Konkrete eksempler
Privat laboratorium mister kontrol over prøveresultater
Et dansk privat laboratorium bruger GisLab til at registrere og dele prøveresultater med klinikker. En angriber udnytter sårbarheden i et webformular-felt og får adgang til hele databasen. Angriberen ændrer testresultater og trækker patientdata ud, hvilket tvinger laboratoriet til at stoppe driften og undersøge omfanget af databruddet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version af GisLab?
Tjek versionsnummeret i systemets administrationspanel eller kontakt jeres it-leverandør. Alle versioner fra 1.4.03 til og med 08072026 er berørt.
Kan vi vente med at reagere til efter weekenden?
Det bør I ikke. Sårbarheden kan udnyttes uden login over internettet, så en angriber kan nå at få adgang til jeres data, mens I venter. Isolér systemet fra internettet med det samme, og opdatér, når det er muligt.
Er vi forpligtet til at anmelde det til Datatilsynet, hvis vi bliver ramt?
Hvis angrebet fører til, at personoplysninger bliver kompromitteret, tabt eller ændret, skal det som udgangspunkt anmeldes til Datatilsynet inden 72 timer efter, I bliver bekendt med bruddet.
Er der en midlertidig løsning, hvis vi ikke kan opdatere lige nu?
Ja, I kan isolere systemet fra internettet og sætte en webapplikationsfirewall op, der filtrerer SQL-indsprøjtningsmønstre. Det fjerner ikke sårbarheden, men reducerer risikoen for udnyttelse, indtil en opdatering er klar.
Hvordan kan vi se, om vi allerede er blevet angrebet?
Gennemgå databasens logfiler for usædvanlige forespørgsler, uventede fejlmeddelelser fra applikationen eller pludselige ændringer i datamængder. Kontakt en sikkerhedsrådgiver, hvis I finder tegn på mistænkelig aktivitet.
Hvem skal vi kontakte, hvis vi ikke selv kan vurdere sårbarheden?
I kan kontakte jeres it-leverandør eller en sikkerhedsrådgiver som Auroa, der kan hjælpe med at vurdere eksponeringen og gennemføre nødvendige tiltag.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of special elements used in an SQL command (‘SQL injection’) vulnerability in Gis Informatics Engineering Consulting Laboratory R&D and Software Services Inc. GisLab Laboratory Management System allows SQL Injection.
This issue affects GisLab Laboratory Management System: from 1.4.03 through 08072026.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.