Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.09

Kritisk sårbarhet i Grafana. APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land. Atomic Stealer distribueres via Script Editor i nye macOS‑angrep.

---

Kritisk sårbarhet i Grafana

Grafana har publisert viktige sikkerhetsoppdateringer som retter to alvorlige sårbarheter (CVE‑2026‑27876 og CVE‑2026‑27880) i flere støttede versjoner. Den mest kritiske sårbarheten kan, under gitte forutsetninger, utnyttes til ekstern kodekjøring (RCE) i selv‑hostede Grafana‑instanser der SQL Expressions er aktivert og brukere har rettigheter til å kjøre spørringer mot datakilder. Dette kan gi en angriper full kontroll over Grafana‑verten. I tillegg er det identifisert en høyalvorlig sårbarhet som gjør det mulig for uautentiserte angripere å krasje Grafana‑tjenesten via ressurskrevende forespørsler (DoS).

Sårbare versjoner:

• 12.4.2

• 12.3.6

• 12.2.8

• 12.1.10

• 11.6.14

Anbefaling:

Grafana anbefaler at alle berørte instanser oppgraderes umiddelbart til siste patch‑nivå for å redusere risiko og sikre stabil drift.

Sårbarheter:

CVE-2026-27876CVE-2026-27880

Referanser:

https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/

APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land

Den russisk‑tilknyttede trusselaktøren APT28 er knyttet til en ny målrettet phishing kampanje mot Ukraina og flere europeiske NATO‑land. Kampanjen benytter skadevaresuiten PRISMEX og har vært aktiv siden minst høsten 2025. Angrepene utnytter nylig annonserte sårbarheter som CVE‑2026‑21509 og CVE‑2026‑21513, trolig brukt som nulldagssårbarheter, og distribuerer skadevare via LNK filer.

PRISMEX kombinerer steganografi, COM‑kapring og misbruk av legitime skytjenester for kommando‑ og kontroll, og har både spionasje- og destruktiv kapasitet. Aktiviteten indikerer et strategisk fokus på forsyningskjeder og operasjonell støtte til Ukraina.

Sårbarheter:

CVE-2026-21509CVE-2026-21513

Referanser:

https://thehackernews.com/2026/04/apt28-deploys-prismex-malware-in.html https://www.trendmicro.com/en_us/research/26/c/pawn-storm-targets-govt-infra.html

Atomic Stealer distribueres via Script Editor i nye macOS‑angrep

En ny kampanje retter seg mot macOS-brukere og distribuerer skadevaren Atomic Stealer (AMOS) ved å utnytte Script Editor som kjøreflate for ondartet kode. Angrepet bygger på kjente ClickFix‑teknikker, der brukere lokkes til falske Apple lignende nettsider med instruksjoner for å «frigjøre diskplass».

Nettstedene benytter applescript:// lenker som åpner Script Editor med forhåndsutfylt kode, noe som muliggjør kjøring av kommandoer uten direkte bruk av Terminal. Koden laster ned og kjører en Mach‑O binær som kan hente ut Keychain data, passord, nettleserdata, kryptolommebøker og systeminformasjon, og som kan etablere vedvarende tilgang via bakdør.

Kampanjen illustrerer hvordan legitime macOS komponenter kan misbrukes i sosial manipulering, og understreker behovet for tydelige retningslinjer, brukerbevissthet og bruk av offisielle Apple‑kilder ved feilsøking og systemvedlikehold.

Referanser:

https://www.bleepingcomputer.com/news/security/new-macos-stealer-campaign-uses-script-editor-in-clickfix-attack/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.08

Android zero-interaction sårbarhet muliggjør angrep uten brukerhandling. Docker sårbarhet CVE-2026-34040 lar angripere omgå autorisering og få tilgang til host. Hackere misbruker falske TradingView Premium-innlegg for å spre skadevare.

---

Android zero-interaction sårbarhet muliggjør angrep uten brukerhandling

En ny zero-interaction sårbarhet i Android gjør det mulig for angripere å kompromittere enheter uten at brukeren trenger å gjøre noe som helst. Angrepet kan utløses via spesiallagde meldinger eller data sendt til enheten, hvor sårbarheten i systemkomponenter håndterer innholdet automatisk og fører til kjøring av ondsinnet kode. Dette gjør angrepet spesielt farlig siden det ikke krever klikk, nedlasting eller annen brukerinteraksjon.

Sårbarheten kan gi angripere tilgang til sensitive data, meldinger og potensielt full kontroll over enheten. Den er spesielt alvorlig fordi den kan utnyttes i målrettede angrep mot enkeltpersoner eller organisasjoner, inkludert overvåkning og spionasje. Zero-interaction angrep er kjent for å være vanskelige å oppdage og stoppe med tradisjonelle sikkerhetsmekanismer.

Referanser:

https://cybersecuritynews.com/android-zero-interaction-vulnerability/

Docker sårbarhet CVE-2026-34040 lar angripere omgå autorisering og få tilgang til host

En høy alvorlig sårbarhet i Docker Engine (CVE-2026-34040, CVSS 8.8) gjør det mulig for angripere å omgå autorisasjonsplugins (AuthZ) og oppnå tilgang til vertssystemet. Feilen skyldes en ufullstendig patch av CVE-2024-41110 og oppstår når Docker håndterer HTTP-forespørsler større enn 1 MB feil, noe som fører til at request body ikke sendes til autorisasjonspluginen. Dette kan utnyttes ved å sende en manipulert forespørsel som gjør at sikkerhetskontrollen ikke trigges, og dermed tillater opprettelse av privilegerte containere med root-tilgang til host, inkludert tilgang til sensitive data som SSH-nøkler, AWS credentials og Kubernetes-konfigurasjoner. Sårbarheten kan utnyttes med lav kompleksitet og uten brukerinteraksjon, og rammer spesielt miljøer som benytter AuthZ-plugins for sikkerhet.

Anbefaling:

Oppgrader til Docker Engine versjon 29.3.1 eller nyere umiddelbart. Begrens tilgang til Docker API til kun betrodde brukere og unngå AuthZ-plugins som er avhengige av inspeksjon av request body hvis patching ikke er mulig.

Sårbarheter:

CVE-2026-34040

Referanser:

https://thehackernews.com/2026/04/docker-cve-2026-34040-lets-attackers.html

Hackere misbruker falske TradingView Premium-innlegg for å spre skadevare

Hackere utnytter TradingView ved å publisere falske innlegg som utgir seg for å tilby “Premium” indikatorer og tradingstrategier. Disse innleggene inneholder lenker til eksterne nedlastninger som i realiteten distribuerer skadevare forkledd som legitime trading-verktøy. Når brukere laster ned og kjører filene, installeres bakdører og infostealers som gir angriperne tilgang til systemer, nettleserdata og kryptolommebøker.

Angrepene retter seg spesielt mot tradere og kryptoinvestorer, og utnytter tilliten til populære analyseverktøy og fellesskap. Skadevaren er ofte pakket i arkivfiler og krever manuell kjøring, noe som gjør sosial manipulering til en sentral del av angrepet. Kampanjen viser en økende trend der legitime plattformer misbrukes til distribusjon av malware gjennom brukergenerert innhold.

Referanser:

https://cybersecuritynews.com/hackers-use-fake-tradingview-premium-posts/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.07

Microsoft advarer mot gruppen Storm-1175 som står bak Medusa løsepengevirus.

---

Microsoft advarer mot gruppen Storm-1175 som står bak Medusa løsepengevirus

Microsoft beskriver hvordan trusselaktøren Storm-1175, en gruppe kjent for å distribuere Medusa løsepengevirus, gjennomfører flere angrep mot internett eksponerte systemer. Gruppen fokuserer spesielt på å identifisere og utnytte sårbare "web-facing" applikasjoner for initiell tilgang, før de beveger seg videre i nettverket hvor de etablerer persistens og distribuerer løsepengevirus. Aktiviteten kjennetegnes av rask utnyttelse av nylig oppdagede sårbarheter og effektiv operasjonalisering av tilgang til kompromitterte miljøer.

Et eksempel av svakheter som de har utnyttet er CVE-2025-10035, en kritisk sårbarhet i GoAnywhere MFT som muliggjør uautentisert kommandoinjeksjon og fjernkjøring av kode. Storm-1175 utnyttet denne ved å manipulere lisensmekanismer for å oppnå initiell tilgang, deretter installere verktøy for vedvarende tilgang og til slutt levere Medusa løsepengeviruset. Angriperne bruker også lignende sårbarheter i offentlig eksponerte tjenester for å etablere web shells, gjennomføre lateral bevegelse og eksfiltrere data før kryptering av systemer.

Anbefaling:

Organisasjoner bør prioritere rask patching av alle internet eksponerte systemer, spesielt kritiske tjenester som filoverføringsløsninger. I tillegg bør man kontinuerlig overvåke etter tegn på kompromittering ved å blant annet ta i bruk kjente "Indicators-of-Compromise" (IoC) for trussel aktøren.

Sårbarheter:

CVE-2025-10035

Referanser:

https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.06

Microsoft avslører nye PHP Web shells som bruker cookies for skjult fjernkjøring på Linux servere. Kritisk Fortinet-sårbarhet utnyttes aktivt - hasteoppdatering lansert. Microsoft tvinger oppgradering til Windows 11 25H2 for uadministrerte enheter.

---

Microsoft avslører nye PHP Web shells som bruker cookies for skjult fjernkjøring på Linux servere

Microsoft Defender Research Team har identifisert en ny teknikk der angripere bruker HTTP cookies som kontrollkanal for PHP baserte web shells på Linux servere. I stedet for tradisjonelle metoder via URL parametere eller "request body", aktiveres ondsinnet kode kun når spesifikke cookie verdier sendes, noe som gjør aktiviteten svært vanskelig å oppdage da den blander seg med normal trafikk. Web shellene benytter kraftig obfuskering og kan rekonstruere payloads dynamisk eller skrive dem til disk før eksekvering. I flere tilfeller oppnår angripere initiell tilgang via stjålne brukerdetaljer eller utnyttelse av kjente sårbarheter, og etablerer deretter persistens ved hjelp av "cron jobs" som automatisk gjenoppretter skadevare dersom den fjernes. Denne «self-healing» mekanismen sikrer vedvarende tilgang og muliggjør skjult remote code execution (RCE) over tid, samtidig som spor i logger minimeres.

Referanser:

https://thehackernews.com/2026/04/microsoft-details-cookie-controlled-php.html

Kritisk Fortinet-sårbarhet utnyttes aktivt - hasteoppdatering lansert

Fortinet har publisert en nødoppdatering for en kritisk sårbarhet (CVE-2026-35616) i FortiClient EMS som allerede blir aktivt utnyttet i angrep. Feilen skyldes manglende tilgangskontroll og gjør det mulig for uautentiserte angripere å kjøre kode via spesiallagde forespørsler.

Sårbarheten rammer versjonene 7.4.5 og 7.4.6, og over 2 000 eksponerte systemer er funnet på nettet. Problemet ble oppdaget som en såkalt zero-day og utnyttet før det ble rapportert. Fortinet oppfordrer brukere til å installere sikkerhetsoppdateringen umiddelbart eller oppgradere til kommende versjon 7.4.7 for å beskytte seg.

Sårbarheter:

CVE-2026-35616

Referanser:

https://www.bleepingcomputer.com/news/security/new-fortinet-forticlient-ems-flaw-cve-2026-35616-exploited-in-attacks/

Microsoft tvinger oppgradering til Windows 11 25H2 for uadministrerte enheter

Microsoft har startet en automatisk utrulling som tvinger uadministrerte Windows 11 enheter (Home og Pro) fra versjon 24H2 til 25H2, også kjent som Windows 11 2025 Update. Oppgraderingen skjer som del av en maskinlæringsbasert utrulling som vurderer enhetsklarhet, og installeres automatisk via Windows Update uten behov for brukerhandling. Bakgrunnen er at Windows 11 24H2 når "end-of-support" 13. oktober 2026, og enheter som ikke oppdateres vil miste sikkerhetsoppdateringer, feilrettinger og teknisk støtte. Oppgraderingen leveres som en liten “enablement package” på under 200 KB som aktiverer allerede installerte funksjoner, noe som gir rask installasjon med kun én omstart. Utrullingen gjelder kun enheter som ikke er administrert av IT systemer som Intune eller Endpoint Manager, og brukere kan kun midlertidig utsette oppdateringen.

Anbefaling:

Sørg for at enheter oppdateres til Windows 11 25H2 så raskt som mulig for å opprettholde sikkerhetsoppdateringer. Organisasjoner bør ha kontroll på hvilke enheter som er unmanaged og vurdere å flytte disse inn under sentral administrasjon. Brukere bør ikke utsette oppdateringen unødvendig, da dette kan føre til eksponering for kjente sårbarheter etter end-of-support.

Referanser:

https://cybersecuritynews.com/microsoft-windows-11-24h2/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.03

Kritisk Cisco IMC sårbarhet gir admin-tilgang uten autentisering. 700 Next.js-hosts kompromittert i omfattende angrep. Claude Code-lekkasje brukt til å spre infostealer malware på GitHub.

---

Kritisk Cisco IMC sårbarhet gir admin-tilgang uten autentisering

Cisco har publisert sikkerhetsoppdateringer for en kritisk sårbarhet i Integrated Management Controller (IMC), sporet som CVE-2026-20093. Sårbarheten skyldes feil håndtering av passordendringsforespørsler og kan utnyttes av en uautentisert angriper via en spesiallaget HTTP-forespørsel for å omgå autentisering. Dette gjør det mulig å endre passord for alle brukere inkludert admin og deretter få full administrativ tilgang til systemet.

IMC er en out-of-band administrasjonskomponent som gir full kontroll over servere selv når operativsystemet er avslått, noe som gjør konsekvensene svært alvorlige. Cisco opplyser at det per nå ikke finnes tegn til aktiv utnyttelse, men anbefaler sterkt umiddelbar oppdatering siden det ikke finnes midlertidige tiltak.

Anbefaling:

Oppgrader til siste versjon av Cisco IMC og SSM On-Prem umiddelbart da det ikke finnes workarounds.

Sårbarheter:

CVE-2026-20093

Referanser:

https://www.bleepingcomputer.com/news/security/critical-cisco-imc-auth-bypass-gives-attackers-admin-access/

700 Next.js-hosts kompromittert i omfattende angrep

En nylig rapport avslører at over 700 servere som kjører Next.js har blitt kompromittert i et koordinert angrep. Angriperne utnyttet en sårbarhet knyttet til feilkonfigurerte eller eksponerte miljøer, som gjorde det mulig å kjøre ondsinnet kode og installere bakdører. Flere av de berørte systemene ble brukt til videre angrep, inkludert kryptomining og distribusjon av skadevare. Angrepet viser hvordan moderne webapplikasjonsrammeverk kan bli mål hvis sikkerhetspraksis ikke følges nøye, spesielt rundt eksponering av administrative grensesnitt og miljøvariabler

Anbefaling:

Det anbefales å oppdatere Next.js til siste versjon og sikre at alle miljøvariabler og administrative endepunkter ikke er offentlig tilgjengelige. Videre bør man implementere autentisering på sensitive API-ruter, overvåke uvanlig trafikk og kjøre sikkerhetsskanninger for å oppdage kompromitterte systemer. Det er også viktig å bruke prinsippet om minste privilegium og sikre serverkonfigurasjoner.

Referanser:

https://cybersecuritynews.com/700-next-js-hosts-exploited/

Claude Code-lekkasje brukt til å spre infostealer malware på GitHub

Trusselaktører utnytter den nylige lekkasjen av Claude Code kildekode fra Anthropic til å spre infostealer malware via falske GitHub-repositorier. Lekkasjen oppstod 31. mars 2026 da rundt 513 000 linjer TypeScript kode ble eksponert gjennom en feil i en npm-pakke, noe som avslørte interne funksjoner, arkitektur og sikkerhetsmekanismer. Angripere opprettet deretter falske repositorier som utgir seg for å tilby den lekkede koden med utvidede funksjoner, men som i realiteten distribuerer Vidar infostealer sammen med GhostSocks malware via ondsinnede nedlastninger. Kampanjen utnytter høy interesse rundt lekkasjen og gjør det enkelt for utviklere å bli lurt gjennom søk og GitHub.

Anbefaling:

Unngå å laste ned eller kjøre kode fra GitHub som hevder å være lekket Claude Code, verifiser kun kilder fra offisielle kanaler, implementer Zero Trust-arkitektur, og unngå å kjøre AI-agenter med tilgang til lokale systemer på uverifisert kode

Referanser:

https://www.bleepingcomputer.com/news/security/claude-code-leak-used-to-push-infostealer-malware-on-github/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.02

Google fikser utnyttet Chrome zero-day. Cisco IMC Virtual Keyboard Video Monitor lar angripere omdirigere brukere til ondsinnede nettsider. Remcos RAT infeksjonskjede skjuler seg bak obfuskert PowerShell og legitime verktøy.

---

Google fikser utnyttet Chrome zero-day

Google har fikset en ny Chrome zero-day sårbarhet som de bekrefter har blitt utnyttet i angrep. Sårbarheten (CVE-2026-5281, CVSS v3 score 8,8) skyldes en use-after-free-feil i WebGPU-implementasjonen (Dawn), og kan gjøre det mulig for angripere å kjøre skadelig kode via spesiallagde nettsider, typisk gjort som del av en større angrepskjede. Google holder foreløpig tekniske detaljer tilbake for å hindre videre misbruk mens oppdateringen rulles ut. Brukere og organisasjoner oppfordres til å oppdatere Chrome umiddelbart for å beskytte seg mot potensielle angrep.

Sårbarheter:

CVE-2026-5281

Referanser:

https://www.bleepingcomputer.com/news/security/google-fixes-fourth-chrome-zero-day-exploited-in-attacks-in-2026/

Cisco IMC Virtual Keyboard Video Monitor lar angripere omdirigere brukere til ondsinnede nettsider

Cisco har avdekket en sårbarhet i Virtual Keyboard Video Monitor komponenten i Integrated Management Controller som gjør det mulig for en uautentisert angriper å omdirigere brukere til ondsinnede nettsider. Sårbarheten skyldes manglende validering av redirect mål i vKVM tilkoblingshåndtering, og kan utnyttes ved at brukere klikker på spesiallagde lenker. Dette kan føre til phishing og kompromittering av administrator legitimasjon, noe som igjen kan gi tilgang til kritisk infrastruktur.

Sårbarheten påvirker flere Cisco plattformer inkludert UCS B-Series, C-Series, X-Series, samt flere Cisco appliances som DNA Center og Secure Firewall Management Center. Det finnes ingen midlertidige workarounds, og kun oppdatering til fikset programvare eliminerer risikoen.

Anbefaling:

Administratorer bør oppdatere til siste tilgjengelige programvareversjon fra Cisco så raskt som mulig da det ikke finnes noen midlertidige tiltak. I tillegg bør man være oppmerksom på phishing forsøk og begrense eksponering av IMC grensesnitt der det er mulig.

Sårbarheter:

CVE-2025-20317

Referanser:

https://cybersecuritynews.com/cisco-imc-vulnerability-2/

Remcos RAT infeksjonskjede skjuler seg bak obfuskert PowerShell og legitime verktøy

En pågående kampanje utnytter en avansert infeksjonskjede for å distribuere Remcos RAT, der angripere benytter obfuskert PowerShell og legitime Windows-verktøy for å unngå deteksjon. Angrepet starter typisk med phishing e-poster som inneholder ondsinnede vedlegg eller lenker, som deretter laster ned og kjører PowerShell-skript. Disse skriptene er kraftig obfuskert og brukes til å hente nyttelasten, samtidig som de utnytter legitime systemverktøy for å redusere mistanke.

Videre etablerer Remcos RAT persistens på systemet og gir angriperen full fjernkontroll, inkludert mulighet for keylogging, skjermopptak og datatyveri. Kampanjen viser en økende trend der angripere kombinerer legitime verktøy og avansert obfuskering for å omgå sikkerhetsløsninger og operere skjult over lengre

Referanser:

https://cybersecuritynews.com/remcos-rat-infection-chain-hides-behind-obfuscated/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.01

Kritisk sårbarhet i Gigabyte Control Center. Kritiske sårbarheter i Progress ShareFile. Kritisk sårbarhet i n8n.

---

Kritisk sårbarhet i Gigabyte Control Center

En kritisk sårbarhet i Gigabyte Control Center (CVE-2026-4415, CVSS v4 score 9,2) gjør det mulig for en angriper å skrive filer vilkårlig på systemet. Feilen skyldes mangelfull validering av input, og kan utnyttes av en angriper uten autentisering hvis en paringsfunksjon er aktivert i Control Center. Dette kan føre til kjøring av skadelig kode, eskalering av rettigheter eller full kompromittering av systemet. Sårbarheten påvirker versjon 25.07.21.01 og eldre av programvaren, og Gigabyte har gitt ut en oppdatering som fikser problemet. Brukere anbefales sterkt å oppdatere til nyeste versjon.

Sårbarheter:

CVE-2026-4415

Referanser:

https://www.bleepingcomputer.com/news/security/gigabyte-control-center-vulnerable-to-arbitrary-file-write-flaw/

Kritiske sårbarheter i Progress ShareFile

Progress Software har publisert sikkerhetsoppdateringer for ShareFile Storage Zone Controller etter at det ble avdekket kritiske sårbarheter i on‑prem‑installasjoner av løsningen. Sårbarhetene gir en angriper mulighet til å omgå autentisering, laste opp webshell og oppnå full kontroll over sårbare systemer. Patch ble gjort tilgjengelig 10. mars 2026 og bør installeres senest 2. april 2026.

Utnyttelse forutsetter at ShareFile Storage Zone Controller er tilgjengelig over nettverket, og at det benyttes en on‑prem‑installasjon i 5.x‑serien.

Følgende produkt er berørt:

• Progress ShareFile Storage Zone Controller versjon 5.x (opp til og med 5.12.3)

Versjon 6.x samt rene SaaS‑miljøer uten egen on‑prem Storage Zone Controller er ikke påvirket.

Per nå er det ikke kjent at utnyttelseskode er offentlig tilgjengelig eller at sårbarhetene utnyttes aktivt. Det foreligger imidlertid informasjon om at en detaljert teknisk analyse, og trolig proof‑of‑concept‑kode, vil bli publisert i nær fremtid. Dette øker risikoen for rask utnyttelse betydelig.

Det anbefales derfor å identifisere eventuelle berørte installasjoner og installere tilgjengelig sikkerhetsoppdatering så snart som mulig. Oppdateringen lastes ned via Progress Software sin portal og krever innlogging.

Anbefaling:

Det anbefales at sårbare enheter oppdateres senest 2.april 2026 til versjon 5.12.4.

Referanser:

https://www.sharefile.com/product-feature/client-portal

Kritisk sårbarhet i n8n

n8n har varslet om en kritisk sårbarhet som kan gi autentiserte brukere med tilgang til arbeidsflyter mulighet til å lese lokale filer og oppnå fjernkodekjøring (RCE) på det underliggende systemet. Sårbarheten ble offentliggjort 25. mars 2026 og er tildelt CVE‑2026‑33660 med en CVSS v4‑score på 9,4 (kritisk). Berørte installasjoner bør oppdateres senest 7. april 2026.

Utnyttelse av sårbarheten gjør det mulig å lese filer på n8n‑verten og utføre vilkårlig kode. Angrep forutsetter at angriperen er autentisert og har tillatelse til å opprette eller endre arbeidsflyter, noe som begrenser eksponeringsflaten, men samtidig gjør sårbarheten særlig relevant i miljøer med mange brukere eller delte administrasjonsrettigheter.

Følgende versjoner er sårbare:

• n8n eldre enn 2.14.1

• n8n eldre enn 2.13.3

• n8n eldre enn 1.123.27

Sårbarheten er lukket i versjonene nevnt over.

Det er per nå ikke kjent at utnyttelseskode er offentlig tilgjengelig eller at sårbarheten misbrukes aktivt. Likevel vurderes det som mulig at sårbare instanser kan bli mål for angrep, ettersom n8n er et utbredt produkt. Risikoen reduseres av at angriper må ha tilgang til en bruker med rettigheter til å opprette arbeidsflyter, men dette anses ikke som tilstrekkelig risikoreduserende alene.

Anbefaling:

Identifisere berørte n8n‑installasjoner og installere tilgjengelig sikkerhetsoppdatering så snart som mulig, og senest innen 7. april 2026.

Referanser:

https://github.com/n8n-io/n8n/security/advisories/GHSA-58qr-rcgv-642v https://nvd.nist.gov/vuln/detail/CVE-2026-33660