CVE-2026-85148: Fast adgangskode i SmartIT Desktop Manager
SmartIT Desktop Manager har en fast indkodet adgangskode, som giver angribere fuld fjernadgang uden login. Afbryd fjernadgang nu.
Hvad er det?
CVE-2026-85148 er en sårbarhed i SmartIT Desktop Manager fra Lightstar, hvor softwaren indeholder en fast indkodet adgangskode, en adgangskode som er skrevet direkte ind i programkoden og gælder for alle installationer. Denne type fejl kaldes CWE-798, brug af hardkodede loginoplysninger. Fordi adgangskoden er den samme på alle opsætninger, kan en angriber, der finder den, bruge den til at logge ind på ethvert system, der kører softwaren, uden at kende noget som helst om den konkrete virksomhed eller dens brugere.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger SmartIT Desktop Manager fra Lightstar til fjernstyring eller administration af medarbejdernes pc’er. Der er ikke angivet en fikset version i NVD-data, så alle kendte installationer må betragtes som sårbare, indtil leverandøren siger andet.
Hvad kan ske?
En angriber kan logge ind på en medarbejders pc via netværket uden brugernavn eller adgangskode fra virksomhedens side. Herfra kan angriberen læse filer, installere skadelig software, oprette sig som fast adgang til netværket og bruge maskinen som springbræt videre ind i virksomhedens øvrige systemer. For en dansk SMV kan det betyde tab af kundedata, driftsstop eller at maskinen bruges til at angribe andre.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, kritisk. Sårbarheden kan udnyttes over netværket, kræver ikke login og kræver ikke, at en bruger klikker på noget. Konsekvensen er fuld adgang til fortrolige data, mulighed for at ændre systemet og risiko for, at systemet gøres utilgængeligt. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men fordi adgangskoden er fast og offentliggjort som type, kan angreb udføres uden større forberedelse, når koden er kendt.
Hvad gør jeg nu?
Der findes endnu ikke en offentligt bekræftet rettelse fra Lightstar. Indtil da bør I begrænse eksponeringen mest muligt.
- Afbryd fjernadgang til systemer med SmartIT Desktop Manager fra internettet, så den faste adgangskode ikke kan bruges udefra.
- Undersøg jeres firewallregler og portåbninger for at se, om softwaren er tilgængelig fra internettet eller kun internt på netværket.
- Kontakt Lightstar for at få oplyst, om der findes en opdateret version, hvor den faste adgangskode er fjernet eller kan ændres.
- Gennemgå logfiler for uventede logins på de berørte systemer, hvis softwaren logger adgang.
- Overvej at afinstallere softwaren midlertidigt på systemer, der ikke har brug for den, indtil en rettelse findes.
- Søg hjælp udefra, hvis I ikke selv kan afgøre, om systemet er eksponeret på internettet, eller hvis I mangler ressourcer til at afbryde adgangen sikkert.
Afbryd fjernadgang nu
Vi anbefaler, at I straks afbryder fjernadgang til systemer med SmartIT Desktop Manager, indtil Lightstar har udsendt en rettelse. Det er ikke forsvarligt at vente, fordi angrebet kræver hverken login eller brugerhandling. I kan vente med at teste en eventuel opdatering til uden for driftstid, men adgangen bør begrænses inden da.
Tidslinje
Konkrete eksempler
Fjernsupport bliver indgangsdør
En dansk SMV bruger SmartIT Desktop Manager til at give it-support fjernadgang til medarbejdernes pc’er. En angriber finder den faste adgangskode, som er offentligt kendt, og logger ind på en medarbejders maskine udefra. Fra maskinen får angriberen adgang til virksomhedens interne netværk og kan sprede sig videre til andre systemer.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-85148?
I er ramt, hvis I bruger SmartIT Desktop Manager fra Lightstar til at styre eller administrere pc’er i jeres netværk. Tjek med jeres it-leverandør eller systemliste, om softwaren er installeret.
Hvordan tjekker vi, om systemet er sårbart?
Undersøg, om SmartIT Desktop Manager er installeret, og om den er tilgængelig fra internettet via en åben port. Er den det, skal den betragtes som sårbar, uanset version, da der ikke findes en bekræftet rettelse.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver ikke login eller brugerhandling og kan udføres, så snart en angriber finder adgangskoden. Afbryd fjernadgangen først, og planlæg den fulde løsning bagefter.
Findes der en officiel rettelse fra Lightstar?
Der er ikke oplyst en fikset version i de tilgængelige data. Kontakt Lightstar direkte for at få den aktuelle status og eventuelle midlertidige løsninger.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at adgangskoden faktisk er blevet brugt til uautoriseret adgang, og persondata er blevet kompromitteret. I så fald skal I vurdere anmeldelse til Datatilsynet efter jeres normale procedure.
Kan vi bare skifte adgangskoden selv?
Nej, det er netop problemet. Adgangskoden er fast indkodet i softwaren og kan ikke ændres af kunden. Løsningen er at begrænse netværksadgang og afvente en rettelse fra leverandøren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SmartIT Desktop Manager developed by Lightstar has a Use of Hard-coded Credentials vulnerability. Unauthenticated remote attackers can exploit a fixed password to remotely access user hosts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.