CVE-2026-92860: Kritisk inputvalideringsfejl i Pulse
Kritisk inputvalideringsfejl i Pulse op til v6.0.4/v6.1.0-rc.4 giver fjernangribere fuld systemadgang. Opdatér nu.
Hvad er det?
CVE-2026-92860 er en kritisk fejl i inputvalidering, altså kontrol af, om data fra en bruger er lovlig, i applikationen Pulse udviklet af rcourtman. Fejlen findes i funktionen fmt.Sprintf i API-endpointet /api/security/quick-setup, som håndterer hurtig sikkerhedsopsætning. En angriber kan sende et manipuleret brugernavn til dette endpoint og dermed omgå systemets kontroller. Fordi Pulse ikke validerer inputtet korrekt, kan angrebet udføres over netværket uden brugerinteraktion.
Hvem rammer det?
Fejlen rammer alle installationer af Pulse op til og med version 6.0.4 samt release candidate-versionerne op til og med 6.1.0-rc.4. Virksomheder og kommuner, der selv hoster Pulse som overvågnings- eller infrastrukturløsning, er i risikogruppen. Er Pulse eksponeret mod internettet, er risikoen størst. Er den kun tilgængelig internt, er angrebet sværere at udføre, men ikke umuligt.
Hvad kan ske?
En angriber, der udnytter fejlen, kan opnå fuld kontrol over det system, Pulse kører på. Det betyder potentielt adgang til fortrolige konfigurationsdata, mulighed for at ændre eller slette data og i værste fald nedlukning af overvågningsfunktionen. For en dansk SMV, der bruger Pulse til at overvåge sin infrastruktur, kan konsekvensen være, at angriberen deaktiverer advarsler og derefter udfører et sekundært angreb uden at blive opdaget.
Hvor alvorligt er det?
CVSS-scoren er 9.1, hvilket er kritisk. Angrebet kræver netværksadgang og administratorrettigheder, men ingen brugerhandling og ingen lokal adgang. Scope er sat til ændret, hvilket betyder, at en angriber kan bevæge sig ud over den kompromitterede komponent og påvirke andre systemer. Der er ikke offentliggjort bekræftet aktiv udnyttelse, men den lave angrebskompleksitet gør det sandsynligt, at udnyttelseskode vil opstå hurtigt efter offentliggørelsen.
Hvad gør jeg nu?
Gør følgende i prioriteret rækkefølge for at lukke sårbarheden:
- Opdatér Pulse til en version, der er nyere end 6.0.4 og 6.1.0-rc.4, så snart en officiel udgivelse foreligger. Følg rcourtmans GitHub-repositorium for udgivelsesnotes.
- Begræns netværksadgangen til Pulse-endpointet
/api/security/quick-setupvia firewall eller adgangskontrolliste, så kun kendte IP-adresser kan nå det. - Kontrollér logfiler for usædvanlige kald til
/api/security/quick-setuptilbage fra offentliggørelsesdatoen den 17. september 2026. - Deaktivér midlertidigt Quick Security Setup-funktionen i Pulse, hvis applikationen tillader det, og funktionen ikke er i aktiv brug.
- Kontakt en ekstern it-sikkerhedskonsulent, hvis I ikke har ressourcer til at vurdere, om I er kompromitteret, eller hvis loggennemgangen afslører mistænkelig aktivitet.
Opdatér inden for 24-48 timer
Vi anbefaler, at I straks begrænser adgangen til det sårbare endpoint via firewall, mens I afventer en officiel opdatering fra rcourtman. Gennemgå samtidig logfiler for at konstatere, om der allerede er forsøgt misbrug. Det er ikke forsvarligt at vente til weekenden, da lav angrebskompleksitet typisk fører til hurtig offentliggørelse af udnyttelseskode. Kontakt os, hvis I har brug for hjælp til loganalyse eller midlertidig afskærmning.
Tidslinje
Konkrete eksempler
Overvågningssystem kompromitteret hos dansk produktionsvirksomhed
En mellemstor dansk produktionsvirksomhed bruger Pulse til at overvåge sin serverinfrastruktur. En angriber med adgang til et kompromitteret administratorlogin sender et manipuleret brugernavn til /api/security/quick-setup og opnår fuld adgang til Pulse-serveren. Angriberen deaktiverer advarsler og installerer derefter ransomware på produktionsnetværket, mens overvågningen er slukket. Virksomheden opdager angrebet først, når produktionen stopper.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version af Pulse?
Log ind i Pulse og find versionsnummeret i administrationspanelet eller i konfigurationsfilen. Er versionen 6.0.4 eller ældre, eller er det en 6.1.0-rc-version op til rc.4, er I ramt. Er I i tvivl, kan I kontakte os for hjælp til at identificere versionen.
Kan vi vente med at handle til næste planlagte vedligeholdelsesvindue?
Nej, ikke uden at indføre en midlertidig afskærmning. CVSS-scoren er 9.1, og angrebskompleksiteten er lav. Vi anbefaler, at I som minimum lukker for netværksadgang til det sårbare endpoint via firewall, inden vedligeholdelsesvinduet åbner.
Kræver angrebet, at hackeren har et login på forhånd?
Ja, CVSS-vektoren angiver, at angriberen skal have administratorrettigheder. Det reducerer risikoen sammenlignet med et fuldstændigt anonymt angreb, men eliminerer den ikke. Kompromitterede administratorkonti er en hyppig angrebsvektor, og fejlen kan kombineres med andre sårbarheder.
Er der tegn på, at sårbarheden allerede udnyttes aktivt?
Der er pr. offentliggørelsesdatoen ikke bekræftet aktiv udnyttelse. Den lave kompleksitet gør det sandsynligt, at udnyttelseskode vil dukke op inden for kort tid, og vi anbefaler at handle nu frem for at afvente bekræftelse.
Skal vi anmelde hændelsen til Datatilsynet, hvis vi er blevet ramt?
Hvis I har konstateret, at en angriber har haft adgang til systemer, der behandler personoplysninger, skal I vurdere, om der er sket et brud på persondatasikkerheden. Er det tilfældet, har I som udgangspunkt 72 timer til at anmelde det til Datatilsynet. Kontakt jeres databeskyttelsesrådgiver eller os for at afklare anmeldelsespligten.
Hvad gør vi, hvis vi ikke kan opdatere Pulse med det samme?
Indfør straks en netværksregel, der blokerer ekstern adgang til endpointet
/api/security/quick-setup. Overvej desuden at deaktivere Quick Security Setup-funktionen i Pulse, hvis det er muligt i jeres konfiguration. Dokumentér de midlertidige foranstaltninger, og sæt en fast deadline for opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A security flaw has been discovered in rcourtman Pulse up to 6.0.4/6.1.0-rc.4. Affected by this issue is the function fmt.Sprintf of the file /api/security/quick-setup of the component Quick Security Setup Handler. The manipulation of the argument Username results in improper input validation. The attack may be performed from remote. Upgrading the affected component is advised.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.