Jesper Bengtson
En kritisk säkerhetsbugg i Minecraft Bedrock låter en angripare fjärrstyra servern utan lösenord eller inloggning.
Sårbarheten sitter i Minecraft Bedrock Dedicated Server, alltså den serverprogramvara som familjer och communities kör själva för att spela tillsammans, och den fick den 14 juli 2026 den högsta möjliga hotklassen från Microsoft.
Felet är ett heap-baserat buffertspill som gör det möjligt att köra godtycklig kod över nätverket utan användarnamn, lösenord eller inloggad spelare. En angripare behöver alltså varken ett Minecraft-konto eller kontakt med någon som redan spelar. Det räcker att sända rätt paket till servern.
Sårbarheten fick nummer CVE-2026-55010 och en CVSS-poäng på 9,8 av 10. Enligt säkerhetsforskarna hos Zero Day Initiative är buggen ”ett heap-baserat buffertspill i Minecraft Bedrock Dedicated Server, också CVSS 9.8 och också oautentiserad RCE”, där RCE står för remote code execution, det vill säga fjärrstyrd kodkörning.
Så nås en sårbar server
Bedrock-servern använder UDP-protokollet, till skillnad från Javaversionens TCP. Den lyssnar som standard på port 19132 för IPv4 och 19133 för IPv6, och för att kompisar ska kunna ansluta utifrån krävs typiskt att UDP-port 19132 vidarebefordras till serverns IP-adress i routern.
Kombinationen är farlig. Har man en Bedrock-server hemma och har följt en standardguide är porten troligen redan öppen mot internet. Utan patch räcker det med trafik till den porten för att en angripare ska kunna ta över värden, oavsett om det är en Windows-dator i vardagsrummet eller en Linuxmaskin i garaget.
Zero Day Initiative pekar också på hur brett problemet är: ”Ja, ditt barns Minecraft-server (det är väl ditt barns server, eller hur?) är sårbar för samma typ av bugg som din DHCP-infrastruktur”, skriver forskarna om paketet i julis säkerhetsuppdatering.
Så kollar du om du är utsatt
Kör du eller någon i hushållet Bedrock Dedicated Server så är följande punkter kritiska.
Kontrollera först om servern överhuvudtaget lyssnar utåt. På Windows kan du öppna Kommandotolken och köra `netstat -an | findstr 19132`, på Linux `ss -lunp | grep 19132`. Får du träff är porten aktiv.
Kontrollera sedan om routern vidarebefordrar UDP 19132 till servern. Många hemmarutrar har en översikt över portöppningar under ”Port Forwarding” eller ”Virtual Server”.
Har porten öppnats mot internet är servern potentiellt exponerad tills den är uppdaterad.
Så uppdaterar du Bedrock-servern
Buggen ingick i Microsofts stora Patch Tuesday den 14 juli 2026, som täckte cirka 570 sårbarheter, men för Bedrock Dedicated Server sker uppdateringen inte automatiskt genom Windows Update.
Steg för steg: stoppa den körande servern, säkerhetskopiera hela server-mappen inklusive `worlds` och `server.properties`, ladda ner den senaste versionen av Bedrock Dedicated Server från Mojangs officiella nedladdningssida, packa upp arkivet över den gamla installationen och starta om.
Kör du serverprogrammet i en Docker-container, byt image-tagg till den senaste. Använder du ett hosting-företag, kontrollera med leverantören att de har rullat ut fixen.
Enligt Zero Day Initiatives sammanställning är rådet enkelt oavsett hur överdrivet det kan låta för ett spel: uppdatera ändå.
Därför är det ett bredare problem
Minecraft är ett av världens mest spelade spel, och en stor andel av spelarna använder just Bedrock-versionen på mobil, konsol och Windows. Många av de självhostade servrarna sköts av föräldrar eller tonåringar, inte av professionella IT-administratörer, och en stor del kör troligen fortfarande en icke-patchad version.
Även efter att uppdateringen är installerad är det klokt att köra servern under ett konto utan administratörsrättigheter och att begränsa åtkomsten med brandvägg eller IP-vitlistning, så att bara betrodda adresser når UDP-porten.
För familjer med en Minecraft-server i hemmet är rådet därför tydligt: uppdatera i helgen, inte nästa vecka.
