CVE-2026-91939: Kritisk fejl i Cotonti Comments-plugin

CVE-2026-91939 er en kritisk sårbarhed i Comments-pluginnet til Cotonti CMS version 1.0.0. Fejlen ligger i en funktion kaldet unserialize(), som PHP bruger til at omdanne tekst tilbage til programobjekter. Pluginnet sender parameteren ‘ci’ fra en almindelig webadresse direkte til denne funktion uden at kontrollere, hvilke objekttyper der er tilladt. En angriber kan derfor sende et specialbygget dataobjekt, der bliver oprettet som et rigtigt PHP-objekt på serveren. Det kaldes objektinjektion, og det kan udløse eksisterende kode på serveren i utilsigtede rækkefølger, kendt som en gadget chain, med databasemanipulation eller fuld kodekørsel som resultat.

Sårbarheden rammer alle installationer af Cotonti CMS version 1.0.0, hvor Comments-pluginnet er aktivt. Cotonti er et open source content management system, der bruges af mindre virksomheder, foreninger og private til at drive websider og fora. Er pluginnet installeret og tilgængeligt fra internettet, er systemet udsat, uanset om der er brugere logget ind eller ej.

En angriber uden brugernavn eller adgangskode kan sende en enkelt forespørgsel og få serveren til at oprette skadelige objekter. Afhængig af hvilke andre kodestykker der findes på serveren, kan det føre til, at databasen ændres, at adgangskoder eller kundedata læses eller slettes, eller at angriberen får fuld kontrol over webserveren og kan installere skadelig kode. For en dansk virksomhed betyder det typisk nedbrud af hjemmesiden, tab af data og risiko for, at serveren bruges som springbræt ind i det øvrige netværk.

CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Det er den mest alvorlige kombination, der findes: alle kan angribe, og konsekvensen er fuld skade på fortrolighed, integritet og tilgængelighed. Der er ikke oplyst, at sårbarheden aktivt bliver udnyttet i angreb, men den lave kompleksitet betyder, at det kan ske hurtigt, når detaljerne er offentligt kendt.

Følgende trin bør gennemføres i denne rækkefølge:

1. Deaktivér Comments-pluginnet i Cotonti CMS, eller opdatér til en rettet version, hvis leverandøren har udgivet en. Det lukker hullet direkte.
2. Kan pluginnet ikke deaktiveres, blokér adgangen til den sårbare adresse med ‘ci’-parameteren i webserveren eller en firewall foran hjemmesiden.
3. Gennemgå webserverens logfiler for forespørgsler med usædvanlige eller lange værdier i ‘ci’-parameteren, som kan afsløre allerede forsøgte angreb.
4. Tag en frisk sikkerhedskopi af database og filer, så I kan genoprette systemet, hvis det viser sig at være kompromitteret.
5. Skift adgangskoder og API-nøgler, der er gemt i systemet, hvis der er tegn på, at serveren har været udsat for angreb.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om pluginnet er blevet udnyttet, eller hvis I mangler ressourcer til at gennemføre opdateringen.