CVE-2026-91995: Kritisk adgangskodefejl i pig
Fejl i pig lader angribere uden login overtage adminkonti. Opdatér til version 4.1.0 eller nyere.
Hvad er det?
CVE-2026-91995 er en fejl i login- og adgangskodesystemet i pig, hvor endepunktet /register/password ikke kontrollerer, om den nuværende adgangskode, brugeren indtaster, faktisk er korrekt. Systemet gemmer resultatet af kontrollen, men bruger det aldrig til at afvise forkerte indtastninger. Det betyder, at en angriber kan sende et brugernavn sammen med en helt vilkårlig eller forkert nuværende adgangskode og alligevel få lov at sætte en ny adgangskode på kontoen, herunder på administratorkontoen. Fejlen ligger i selve autentificeringslogikken og kræver ingen forudgående adgang til systemet.
Hvem rammer det?
Sårbarheden rammer alle installationer af pig i versioner ældre end 4.1.0. Det gælder virksomheder og kommuner, der bruger pig til brugerstyring, login eller administration af interne systemer. Alle konti i systemet er udsat, men adminkontoen er den mest kritiske, fordi den giver fuld kontrol over platformen.
Hvad kan ske?
En angriber, der kender eller kan gætte et brugernavn, kan skrive en ny adgangskode til den konto uden at kende den gamle. Rammer det administratorkontoen, får angriberen fuld administrativ kontrol over systemet: adgang til alle data, mulighed for at læse og ændre oplysninger og mulighed for at oprette nye konti med samme rettigheder. Da angrebet ikke kræver login eller nogen handling fra en bruger, kan det ske uden varsel og uden spor i form af mistænkelig brugeraktivitet.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ingen adgang eller rettigheder på forhånd, ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er høj for fortrolighed og integritet, altså angriberen kan læse og ændre data, men fejlen giver ikke direkte mulighed for at lukke systemet ned. Der er ikke oplysninger om, at fejlen udnyttes aktivt på offentliggørelsesdatoen, men den er let at udnytte, og risikoen for misbrug er høj, så snart detaljerne er kendt.
Hvad gør jeg nu?
Det vigtigste er at opdatere pig til en version, hvor adgangskodekontrollen faktisk virker.
- Opdatér pig til version 4.1.0 eller nyere. Det lukker hullet, fordi verificeringen af den nuværende adgangskode igen bruges korrekt.
- Gennemgå adminlogs for uventede adgangskodeskift, især på administratorkontoen, tilbage til den dato, hvor sårbarheden blev offentliggjort.
- Nulstil adgangskoder på alle administratorkonti efter opdateringen, så eventuelle allerede kompromitterede konti bliver sikret.
- Aktivér to-faktor login på administratorkonti, hvis muligt, som et ekstra lag beskyttelse mod fremtidige lignende fejl.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om opdateringen er installeret korrekt, eller hvis I finder tegn på misbrug i loggene.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer pig til version 4.1.0 eller nyere så hurtigt som muligt, da fejlen kræver hverken login eller brugerhandling og derfor er meget let at udnytte, hvis den bliver kendt bredt. Det er kun i orden at vente, hvis systemet er fuldstændig isoleret fra internettet og ikke har eksterne brugere, men selv da bør opdateringen prioriteres højt. Har I administratorkonti med samme adgangskode andre steder, bør de skiftes uafhængigt af opdateringen.
Tidslinje
Konkrete eksempler
Overtagelse af adminkonto i en dansk virksomhed
En mellemstor dansk virksomhed bruger pig til at styre login for medarbejdere og eksterne samarbejdspartnere. En angriber finder brugernavnet på it-administratoren, sender en anmodning til /register/password med en vilkårlig forkert adgangskode og sætter en ny adgangskode på kontoen. Angriberen logger nu ind som administrator, får adgang til alle brugerdata og kan oprette yderligere konti til senere brug.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af pig?
Tjek versionsnummeret i jeres pig-installation, typisk i systemets administrationspanel eller i konfigurationsfilerne. Er versionen ældre end 4.1.0, er I sårbare.
Kan vi vente til efter weekenden med at opdatere?
Vi anbefaler, at opdateringen sker inden weekenden, hvis pig er tilgængeligt fra internettet. Angrebet kræver ikke login og kan udføres automatiseret, så risikoen stiger, jo længere systemet står åbent.
Er der tegn på, at fejlen allerede bliver udnyttet?
Der er ikke offentligt kendte tilfælde af aktivt misbrug på offentliggørelsesdatoen, men det kan ændre sig hurtigt, når sårbarheden bliver kendt bredt.
Hvordan ser vi, om vores system allerede er blevet ramt?
Gennemgå logs for adgangskodeskift på /register/password, især uventede skift på administratorkontoen, i perioden op til opdateringen.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået eller ændret af en uautoriseret person. Har I ingen tegn på misbrug efter gennemgang af logs, er der som udgangspunkt ikke pligt til anmeldelse.
Hvad hvis vi ikke selv kan opdatere systemet?
Kontakt jeres it-leverandør eller en sikkerhedsrådgiver som Auroa, der kan hjælpe med opdateringen og verificere, at fejlen er lukket korrekt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
pig before 4.1.0 contains an authentication bypass vulnerability in the /register/password endpoint where password verification results are discarded, allowing any value as the current password. Remote attackers can submit a username with an incorrect current password to overwrite any account credential including the admin account and gain full administrative control.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.