Sedan mitten av oktober pågår en global kampanj mot FileMaker Server som går att nå från internet. Det är ingen ny sårbarhet. Angriparna utnyttjar auto-login, gäståtkomst och enkla lösenord. Det mesta löser ni med inställningar i fem steg nedan, och vi hjälper gärna till.
Så går angreppet till, och var ni stoppar det
| Angriparen | Stoppa med |
|---|---|
| 1. Hittar servern Söker av internet efter FileMaker Server |
Begränsa vilka IP-adresser som får nå servern |
| 2. Listar era filer Ber servern lista vilka filer som finns |
Slå på filtrering av databaser |
| 3. Prövar konton Auto-login, gäst och vanliga lösenord |
Ta bort auto-login och gäst. Starka lösenord |
| 4. Byter IP-adress Håller sig under spärren på fem försök |
Brandvägg, VPN eller WAF framför servern |
| 5. Hämtar data Läser ut posterna i stora omgångar |
Minsta möjliga behörighet och Encryption at Rest |
Fem steg för säkrare FileMaker
Steg 1: Begränsa åtkomst
-
- Släpp bara in kända IP-adresser, till exempel kontoret och VPN, eller lägg servern bakom VPN.
-
- Begränsa Admin Console till godkända adresser.
-
- Stäng inte port 443 på måfå. Det stoppar även användare och integrationer som fungerar. Ta först reda på vad som används.
Steg 2: Stäng det som inte behövs
-
- Slå på Filter databases in client applications i Admin Console.
-
- Stäng av WebDirect, Data API, OData och XML om ni inte använder dem.
-
- Stäng av Remote Desktop om det inte behövs.
-
- Servrar som måste vara publika bör ha WAF eller rate limiting framför sig.
Steg 3: Se över era filer
Auto-login är den vanligaste orsaken till att angriparna kommer in, följt av gästkontot.
-
- Ta bort auto-login och gäståtkomst. Det räcker inte att ta bort API-behörigheten, eftersom filen ändå går att öppna med FileMaker Pro.
-
- Byt svaga och förvalda lösenord. Använd gärna en lösenfras.
-
- Stäng av extended privileges som inte behövs: fmxml, fmrest, fmodata, fmxdbc och fmphp.
-
- Ge varje integration ett eget konto med minsta möjliga behörighet.
-
- Slå på Encryption at Rest. Lagra inte lösenord i fält.
Steg 4: Uppdatera och ha backup
-
- Kör senaste FileMaker Server. Versioner äldre än 19.6.4 har allvarliga brister som inga inställningar väger upp.
-
- Ha en aktuell backup utanför servern, och testa att den går att återställa.
-
- Byt lösenord till Admin Console.
Steg 5: Granska loggarna
Titta efter skurar av misslyckade inloggningar i Access- och Event-loggarna och upprepade försök från okända adresser. Gå tillbaka till mitten av oktober.
-
- Hittar ni en lyckad inloggning ni inte kan förklara: radera inget, spara loggarna, isolera servern och kontakta oss.
-
- Pågår en attack kan Block New Users i Admin Console stoppa nya anslutningar utan att koppla bort dem som redan arbetar.
PHP: behöver ni göra något?
Två kritiska PHP-sårbarheter rättades den 21 oktober och ger kodkörning utan inloggning. PHP blir ofta kvar på maskiner som tidigare körde Custom Web Publishing, på WordPress-sajter som pratar med Data API och i webhook-skript.
| Fråga | Om nej | Om ja |
|---|---|---|
| 1. Kör ni PHP på servern eller på maskiner som pratar med den? | Inget att göra. | Gå till fråga 2. |
2. Kontrollera versionen med php -v. Är den 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller nyare? |
Uppdatera och starta om PHP-processerna. Går det inte: isolera maskinen från internet och hör av er. PHP 8.1 och äldre får inga rättningar. | Klart. Ni har en rättad version. |
Tidslinje över händelserna i korthet
-
- Mitten av oktober: De första sonderingarna mot servrar. PHP-projektet rättar två kritiska sårbarheter den 21 oktober.
-
- 22–25 oktober: Angreppen trappas upp och når hostingleverantörer. Ottomatic stänger ner sina servrar som skydd.
-
- 27–29 oktober: Claris, 360Works och Proof skickar åtgärdslistor. Claris håller webbinarium den 29 oktober.
Så kan vi hjälpa till
Vi erbjuder en säkerhetsgranskning i tre storlekar, beroende på hur mycket ni vill ha undersökt och åtgärdat.
-
- S: Vi går igenom serverversion, öppna tjänster och portar samt konton och behörigheter i era filer.
-
- M: Som S, och dessutom granskning av loggar från och med mitten av oktober och av era integrationer.
-
- L: Som M, och dessutom att vi genomför åtgärderna, begränsar nätverksåtkomsten och följer upp.
Hör av er till oss på Square Moon, så går vi igenom vilken nivå som passar.
Källor
Råden i den här artikeln bygger på följande underlag.
-
- Claris, partnermejlet ”Action needed: Password attacks on FileMaker Server”, 28 oktober 2026.
-
- Claris, inbjudan ”Special Community Live: Securing FileMaker Server against active attacks”, 27 oktober 2026. Webbinariet hölls den 29 oktober och finns inspelat på YouTube.
-
- FMGuru (Giulio Villani), ”FileMaker Server sotto attacco”, fmguru.it, uppdaterad 30 oktober 2026. Återger Claris webbinarium. Uppgifterna är inte kontrollerade mot inspelningen.
-
- 360Works, mejlet ”Rising attacks on FileMaker Servers – Urgent security recommendations from 360Works”, hosting@360works.com, 28 oktober 2026.
-
- Proof, ”FileMaker Systems Attack Brief, October 2026”, 27 oktober 2026, samt mejlet om OttoFMS 4.19.0.
-
- DB Services, nyhetsbrevet ”Is Your FileMaker Server Still Running PHP?”, 22 oktober 2026.
