CVE-2026-9182: Filupload-sårbarhed i ArcGIS Server
ArcGIS Server har en sårbarhed, der lader angribere uploade filer uden login. Opdatér serveren snarest.
Hvad er det?
CVE-2026-9182 er en sårbarhed i Esri ArcGIS Server, der gør det muligt at uploade filer uden nogen form for kontrol af filtype eller indhold. Fejlen kaldes unrestricted file upload og er registreret som CWE-434: systemet tjekker ikke, om en uploadet fil er farlig, før den gemmes og eventuelt kan afvikles på serveren. En angriber behøver hverken login eller adgangskode for at udnytte fejlen. Det kræver kun, at angriberen kan nå den ramte endpoint over netværket, altså det sted i systemet, hvor filer tages imod.
Hvem rammer det?
Sårbarheden findes i ArcGIS Server version 12.0 og ældre, uanset om systemet kører på Linux eller Windows. ArcGIS Server bruges bredt i danske kommuner og forsyningsselskaber til at drive kortløsninger, GIS-portaler og geodata-tjenester, ofte tilgængelige for borgere og eksterne samarbejdspartnere via internettet. Enhver organisation med en internetvendt ArcGIS Server i den nævnte version er potentielt ramt.
Hvad kan ske?
En angriber kan uploade en fil, der senere kan bruges til at få kode til at køre på serveren, for eksempel en web shell, som giver fortsat adgang til systemet. Selv om CVSS-scoren kun peger på lav integritetspåvirkning, kan en vellykket upload i praksis føre til fuld kontrol over serveren og adgang videre ind i netværket. For en dansk kommune kan det betyde, at en offentlig kortportal bliver misbrugt som indgang til interne systemer.
Hvor alvorligt er det?
CVSS-scoren er 5,3 ud af 10, moderat alvorlighed. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet, hvilket gør det let at forsøge. Den relativt lave score skyldes, at CVSS kun måler den direkte konsekvens af selve filuploaden, ikke hvad en angriber kan opnå bagefter med den uploadede fil. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser risikoen, mens I venter på eller installerer rettelsen.
- Opdatér ArcGIS Server til den version, Esri har frigivet med rettelse for denne sårbarhed, og følg Esris officielle sikkerhedsbulletin for den nøjagtige version.
- Begræns netværksadgangen til ArcGIS Servers administrative og upload-endpoints, så de kun kan tilgås fra betroede IP-adresser eller via VPN.
- Gennemgå logfiler for usædvanlige eller uventede filuploads i perioden op til opdateringen.
- Sæt en regel op i jeres webapplikationsfirewall, der blokerer upload af filtyper, som ikke er nødvendige for jeres GIS-løsning.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I finder tegn på uautoriserede filer eller uforklarlig aktivitet på serveren.
Opdatér inden for 14 dage
Vi anbefaler, at I opdaterer ArcGIS Server til den rettede version inden for de næste to uger, især hvis serveren er tilgængelig fra internettet. Er serveren kun tilgængelig internt og bag stærke netværksbegrænsninger, kan opdateringen planlægges ind i et normalt vedligeholdelsesvindue. Vi anbefaler ikke at vente længere end det, da sårbarheden er let at udnytte uden login.
Tidslinje
Konkrete eksempler
Kommunal kortportal misbruges som indgang
En dansk kommune driver en offentlig kortportal på ArcGIS Server til borgerhenvendelser om lokalplaner. En angriber uploader en skadelig fil via den sårbare endpoint uden at logge ind. Filen giver angriberen fortsat adgang til serveren og mulighed for at bevæge sig videre ind i kommunens netværk, hvor følsomme sagsdata ligger.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version?
Gå ind i ArcGIS Server Manager og tjek versionsnummeret under systemoplysninger. Er versionen 12.0 eller ældre, er I potentielt ramt.
Er sårbarheden udnyttet i praksis?
Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet, men det kan ændre sig, når sårbarheden bliver mere kendt.
Kan vi vente til den næste planlagte opdatering?
Hvis serveren er tilgængelig fra internettet, bør I ikke vente på næste planlagte vindue. Er den kun tilgængelig internt og godt afskærmet, kan I vente kortvarigt, men bør stadig prioritere opdateringen.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og at persondata er blevet tilgået eller kompromitteret. Ren tilstedeværelse af sårbarheden udløser ikke en anmeldelsespligt.
Hvad gør vi, hvis vi finder en mistænkelig fil på serveren?
Isolér serveren fra netværket, bevar filen og loggene til analyse, og kontakt en ekstern sikkerhedsrådgiver, før I sletter noget.
Påvirker sårbarheden også vores styresystem, Windows eller Linux?
Sårbarheden ligger i selve ArcGIS Server-softwaren og gælder uanset om den kører på Windows eller Linux. Det er applikationen, der skal opdateres, ikke styresystemet.
Ramte produkter
Esri: Arcgis Server
≤ 12.0
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
ArcGIS Server contains an unrestricted file upload vulnerability. An unauthenticated attacker could exploit this issue by uploading a crafted file to the affected endpoint. Successful exploitation could allow arbitrary file upload.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.