CVE-2026-97359: Kritisk RCE-sårbarhed i HFS2 filserver

CVE-2026-97359 er en skabelon-indsprøjtning, kaldet template injection, i filserveren HFS2 version 2.4.0 og ældre. Fejlen sidder i den funktion, der modtager filer via multipart-upload, altså den metode browsere bruger til at sende filer i flere dele til en server. Ved at give en fil et navn med en særlig tegnkombination kan en angriber lukke en skabelonstreng og indsætte en kommando, der bliver kørt direkte på serveren. Fejlen kræver hverken login eller brugerhandling, og den springer forbi det almindelige autorisationstjek i programmet. Resultatet er, at en angriber kan afvikle vilkårlige kommandoer på den maskine, hvor HFS2 kører, med de rettigheder programmet har.

Sårbarheden rammer virksomheder og kommuner, der bruger HFS2 (HTTP File Server, version 2) til at dele filer internt eller med eksterne samarbejdspartnere. HFS2 bruges ofte som en enkel, hurtigt opsat løsning til fildeling uden brug af en fuld filserverplatform. Alle versioner til og med 2.4.0 er berørt. Er serveren tilgængelig fra internettet eller fra et gæstenetværk, er risikoen særligt stor.

En angriber kan overtage den server, hvor HFS2 kører, uden at have adgangskode eller brugerkonto. Herfra kan angriberen læse og slette filer, installere ondsindet software, eller bruge serveren som springbræt videre ind i virksomhedens netværk. For en dansk virksomhed betyder det typisk risiko for datatyveri, driftsstop og i værste fald afpresningssoftware, der spreder sig fra filserveren til resten af netværket.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskode, intet login og ingen handling fra en bruger. Det kan udføres over netværket, også over internettet, og kompleksiteten er lav, hvilket betyder, at det kan automatiseres. Fejlen påvirker fortrolighed, integritet og tilgængelighed fuldt ud, altså angriberen kan læse, ændre og lukke systemet ned.

Der er ikke oplyst nogen opdateret version, der lukker hullet. Fokus skal derfor være på at fjerne adgangen til den sårbare funktion, indtil en løsning findes.

1. Tag HFS2-serveren offline eller bloker adgang til upload-funktionen med det samme, hvis den er tilgængelig fra internettet.
2. Begræns adgang til serveren til et internt, betroet netværk via firewall-regler, hvis den skal blive i drift.
3. Gennemgå logfiler for usædvanlige filnavne eller uploads, der kan indikere forsøg på udnyttelse.
4. Undersøg om HFS2 kan udskiftes med en aktivt vedligeholdt filserverløsning, da HFS2 ikke ser ud til at modtage sikkerhedsopdateringer.
5. Overvåg serveren for nye processer eller uventet netværkstrafik i perioden, hvor den fortsat er tilgængelig.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om systemet allerede er kompromitteret, eller hvis I mangler ressourcer til at gennemføre en sikker migrering.