CVE-2026-85146: Hårdkodet login i SmartIT Desktop Manager

CVE-2026-85146 er en sårbarhed i SmartIT Desktop Manager fra Lightstar, hvor programmets kildekode indeholder hårdkodede login-oplysninger, det vil sige adgangskoder, der er skrevet direkte ind i koden i stedet for at blive gemt sikkert. Fejlen ligger i, at brugernavn og adgangskode til SSH-tjenesten, en fjernadgangsprotokol, og til SmartIT Agent kan læses direkte ud af programfilerne. Enhver, der har adgang til programfilerne eller kan analysere dem, kan derfor finde de gyldige login-oplysninger uden at skulle gætte eller bryde noget.

Sårbarheden rammer virksomheder og kommuner, der har installeret SmartIT Desktop Manager fra Lightstar til styring af arbejdspladser eller enheder. NVD-data angiver ikke specifikke versionsnumre, og der er ikke oplyst, hvilke versioner der er rettet. Er SmartIT Desktop Manager eller SmartIT Agent installeret i jeres it-miljø, bør I gå ud fra, at I er berørt, indtil leverandøren har bekræftet andet.

En angriber, der finder de hårdkodede login-oplysninger, kan logge på SSH-tjenesten og SmartIT Agent uden at have et gyldigt brugerkonto i forvejen. Det giver typisk fuld adgang til den underliggende server eller enhed, hvor angriberen kan læse, ændre og slette data, installere skadelig kode eller bruge enheden som springbræt videre ind i netværket. For en dansk virksomhed kan det betyde, at en enkelt sårbar enhed bliver indgangen til hele it-miljøet.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login på forhånd, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Både fortrolighed, integritet og tilgængelighed vurderes til høj påvirkning, hvilket betyder, at angriberen kan læse data, ændre data og lukke systemet ned. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men fordi login-oplysningerne ligger åbent i koden, kræver et angreb ikke avanceret teknik.

Da der ikke er bekræftet en opdatering, der lukker hullet permanent, handler de første skridt om at begrænse adgangen til systemet, mens I afventer svar fra leverandøren.

1. Afskær SmartIT Desktop Manager og SmartIT Agent fra internettet og begræns netværksadgang til kun de systemer, der har brug for det.
2. Undersøg om SSH-tjenesten kan deaktiveres eller om de hårdkodede konti kan spærres eller ændres manuelt på jeres installation.
3. Kontakt Lightstar for at få bekræftet, om der findes en rettet version, og hvornår den udkommer.
4. Overvåg logfiler for SSH-forbindelser og unormal aktivitet på de servere, hvor programmet kører.
5. Dokumentér, hvilke enheder der har SmartIT Desktop Manager installeret, så I hurtigt kan opdatere, når en løsning er tilgængelig.
6. Få hjælp udefra, hvis I ikke selv kan verificere, om jeres installation er sårbar, eller hvis I ikke kan afskærme systemet uden at det går ud over driften.