CVE-2026-9163: Kritisk SQL-fejl i GisLab LMS
Kritisk SQL-sårbarhed i GisLab Laboratory Management System (CVE-2026-9163) giver adgang uden login. Opdatér til version 1.5.
Hvad er det?
CVE-2026-9163 er en SQL-indsprøjtning, en fejl hvor en angriber kan sende skadelig kode gennem et almindeligt inputfelt og dermed styre systemets database direkte. Fejlen findes i GisLab Laboratory Management System fra GIS Informatics, et system til styring af laboratorieprøver, resultater og arbejdsgange. Fordi angrebet kræver hverken login eller handling fra en bruger, kan det udføres af enhver, der kan sende forespørgsler til systemet over internettet.
Hvem rammer det?
Sårbarheden rammer GisLab Laboratory Management System i versioner fra 1.4.03 og frem til, men ikke medregnet, version 1.5. Det gælder laboratorier, klinikker og virksomheder i Danmark, der bruger GisLab til at håndtere prøver, testresultater og patient- eller kundedata. Både lokalt installerede systemer og systemer tilgængelige fra internettet er berørt.
Hvad kan ske?
En angriber kan læse, ændre eller slette alt indhold i databasen, herunder prøveresultater, personoplysninger og interne journaler. Det kan føre til manipulerede laboratoriesvar, tab af data og brud på persondatasikkerheden, hvis systemet indeholder helbredsoplysninger. Et angreb kan også bruges som indgang til at kortlægge og angribe andre systemer i netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, da angriberen får kontrol over databasens indhold. Der er ikke offentligt kendte beviser for aktiv udnyttelse på offentliggørelsestidspunktet, men fejltypen er velkendt og let at udnytte, hvis systemet er tilgængeligt fra internettet.
Hvad gør jeg nu?
Følgende trin bør gennemføres i rækkefølge:
- Opdatér GisLab Laboratory Management System til version 1.5 eller nyere, hvor fejlen er rettet.
- Undersøg om systemet er tilgængeligt fra internettet, og begræns adgangen til interne netværk eller VPN, indtil opdateringen er gennemført.
- Gennemgå database- og applikationslogs for usædvanlige forespørgsler eller fejlmeddelelser, der kan tyde på tidligere forsøg på indsprøjtning.
- Skift adgangskoder til databasebrugere, hvis der er mistanke om, at systemet har været udsat for angreb.
- Vurdér, om hændelsen skal anmeldes til Datatilsynet, hvis systemet indeholder personoplysninger og der er tegn på databrud.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om systemet er opdateret eller om data er kompromitteret.
Opdatér inden for 24 timer
Vi anbefaler at opdatere GisLab Laboratory Management System til version 1.5 så hurtigt som muligt, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Det er kun forsvarligt at vente, hvis systemet er fuldstændig isoleret fra netværk og internet, og selv da bør opdateringen planlægges inden for få dage. Er systemet tilgængeligt fra internettet, bør adgangen begrænses akut, mens opdateringen forberedes.
Tidslinje
Konkrete eksempler
Angreb mod et privat laboratorium
Et dansk privatlaboratorium bruger GisLab til at registrere prøvesvar for tilknyttede klinikker. En angriber sender en skadelig forespørgsel gennem et søgefelt på systemets webgrænseflade og får derved adgang til hele databasen med patientdata og testresultater. Laboratoriet opdager først hændelsen, da klinikker rapporterer forkerte prøvesvar, og må efterfølgende gennemgå alle resultater manuelt.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af GisLab?
Tjek versionsnummeret i systemets administrationsside eller kontakt GIS Informatics. Alle versioner fra 1.4.03 og frem til, men ikke medregnet, 1.5 er berørt.
Kan vi vente med opdateringen til efter en planlagt driftsuge?
Det frarådes. Sårbarheden kræver hverken login eller brugerhandling, så den kan udnyttes med det samme, hvis systemet er tilgængeligt over netværket. Opdatér før andre driftsopgaver, hvis muligt.
Er der tegn på, at sårbarheden allerede bliver udnyttet?
Der er ikke offentligt kendte rapporter om aktiv udnyttelse på offentliggørelsestidspunktet. Det betyder ikke, at systemet er sikkert, da SQL-indsprøjtninger ofte udnyttes kort tid efter offentliggørelse.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder konkrete tegn på, at data er blevet tilgået eller ændret uretmæssigt, og systemet indeholder personoplysninger. Gennemgå logs, før I vurderer anmeldelsespligten.
Hvad koster det at ikke opdatere med det samme?
Risikoen er tab af kontrol over laboratoriedata, manipulerede resultater og eventuelt brud på persondatasikkerheden, hvilket kan medføre både faglige og juridiske konsekvenser for virksomheden.
Kan vi bruge en midlertidig løsning, hvis vi ikke kan opdatere nu?
Begræns adgangen til systemet til interne netværk eller VPN, og overvåg logs tæt. Det er dog kun en midlertidig foranstaltning, og opdatering bør gennemføres hurtigst muligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of special elements used in an SQL command (‘SQL injection’) vulnerability in GIS Informatics GisLab Laboratory Management System allows SQL Injection.
This issue affects GisLab Laboratory Management System: from 1.4.03 before 1.5.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.