CVE-2026-9181: Kritisk fejl i Esri ArcGIS Server
Sårbarhed i Esri ArcGIS Server (CVE-2026-9181) giver angribere uden login adgang til følsomme filer. Opdatér til nyeste version.
Hvad er det?
CVE-2026-9181 er en katalogtraversering, en sårbarhedstype hvor man ved at manipulere stiparametre i en forespørgsel kan få adgang til filer uden for det tilsigtede katalog på serveren. Fejlen findes i Esri ArcGIS Server, et system til at dele kort og geodata over web. En angriber kan sende en forespørgsel med et bevidst forkert konstrueret filstiparameter og derved læse filer, som ligger uden for den mappe, systemet normalt viser. Angrebet kræver ikke login og ingen handling fra en bruger i virksomheden, det udføres direkte over netværket. Fejlen er kategoriseret som CWE-22, som er den formelle klassificering af katalogtraversering.
Hvem rammer det?
Sårbarheden rammer alle installationer af Esri ArcGIS Server version 12.0 og tidligere, uanset om serveren kører på Windows eller Linux. I Danmark er ArcGIS Server især udbredt hos kommuner, forsyningsselskaber, rådgivende ingeniørfirmaer og andre organisationer, der arbejder med kort, planlægning og geodata. Er ArcGIS Server tilgængelig fra internettet, for eksempel via en offentlig GIS-portal eller et kortmodul på hjemmesiden, er risikoen størst.
Hvad kan ske?
En angriber uden brugernavn eller adgangskode kan læse konfigurationsfiler, adgangskoder gemt i klartekst, geodata og andre filer på serveren. Disse oplysninger kan bruges til at få fodfæste videre ind i netværket, for eksempel ved at genbruge fundne adgangskoder til andre systemer. For en dansk kommune eller virksomhed kan det betyde, at følsomme geodata, interne systemoplysninger eller adgangsnøgler til databaser kommer i forkerte hænder.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N). Det kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L), hvilket betyder, at det er let at automatisere. Konsekvensen for fortrolighed, integritet og tilgængelighed er alle sat til høj. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis pr. offentliggørelsesdatoen, men den lave kompleksitet gør, at det kan ske hurtigt, når først metoden er kendt.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I opdaterer.
- Opdatér ArcGIS Server til den nyeste patchede version fra Esri. Tjek Esri Trust Center for den konkrete rettelse til jeres version.
- Kan opdateringen ikke gennemføres i dag, så afskærm ArcGIS Server fra internettet, for eksempel via firewall eller VPN, så kun betroede netværk kan tilgå den.
- Gennemgå adgangslogs for ArcGIS Server for usædvanlige stiparametre, tegn som ‘../’ eller forsøg på at tilgå filer uden for de normale mapper.
- Skift adgangskoder og nøgler, der lå i konfigurationsfiler, hvis der er tegn på uautoriseret adgang.
- Kontakt en sikkerhedsleverandør, hvis I ikke selv kan afklare, om jeres installation er opdateret, eller om I har været udsat for angreb.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer ArcGIS Server til den patchede version med det samme, især hvis serveren kan tilgås fra internettet. Er serveren kun tilgængelig internt og bag firewall, kan I vente til jeres næste planlagte opdateringsvindue, men bør stadig gennemføre patchen inden for kort tid. Det er ikke rimeligt at lade en internetfacende ArcGIS Server stå upatchet, da angrebet kan udføres uden login og med lav teknisk kompleksitet.
Tidslinje
Konkrete eksempler
Kommunal GIS-portal eksponeret mod internettet
En dansk kommune driver en offentlig kortportal baseret på ArcGIS Server 12.0, tilgængelig fra internettet for borgere. En angriber sender en manipuleret forespørgsel og læser en konfigurationsfil, der indeholder database-adgangskoder. Angriberen bruger herefter adgangskoderne til at forsøge sig ind i kommunens øvrige systemer, uden at der på noget tidspunkt er behov for login til ArcGIS Server selv.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en ramt version?
Log ind i ArcGIS Server Manager og se versionsnummeret under Systemoplysninger. Alle versioner 12.0 og tidligere er berørt. Er I i tvivl, kan jeres GIS-administrator eller leverandør bekræfte versionen.
Kan vi vente til weekenden med at opdatere?
Er serveren tilgængelig fra internettet, bør I ikke vente. Angrebet kræver ikke login og kan udføres automatisk. Ligger serveren udelukkende internt bag firewall, er risikoen lavere, men opdateringen bør stadig prioriteres inden for få dage.
Er sårbarheden udnyttet i praksis?
Der er ikke oplysninger om aktiv udnyttelse pr. offentliggørelsesdatoen. Den lave tekniske kompleksitet betyder dog, at det kan ændre sig hurtigt, når metoden bliver kendt bredere.
Skal vi anmelde noget, hvis vi finder tegn på misbrug?
Finder I tegn på, at følsomme filer, adgangskoder eller persondata er blevet læst af en uautoriseret part, skal I vurdere, om det udløser anmeldelsespligt til Datatilsynet efter databeskyddelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller os for hjælp til vurderingen.
Påvirker det også Windows Server eller Linux-kernen direkte?
Nej. Windows og Linux er nævnt, fordi ArcGIS Server kan installeres på begge platforme, og sårbarheden findes i ArcGIS Server selv, ikke i operativsystemet. Opdateringen skal derfor ske i ArcGIS Server-softwaren.
Hvad koster det at vente med opdateringen?
Ventetid giver en angriber mulighed for uden login at læse konfigurationsfiler og adgangskoder på serveren. Det kan føre til yderligere kompromittering af jeres netværk og eksponering af geodata eller persondata, hvilket kan blive langt dyrere at rydde op efter end selve opdateringen.
Ramte produkter
Esri: Arcgis Server
≤ 12.0
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
ArcGIS Server contains a directory traversal vulnerability. An unauthenticated attacker could exploit this issue by sending crafted path parameters. Successful exploitation could allow access to sensitive files on the system. This issue impacts all versions of ArcGIS Server 12.0 and prior.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.