Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Tuesday, 10 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.10

Ny Kritisk sårbarhet i FortiClientEMS. Microsoft Exchange Online markerer legitime e-poster som phishing.


Ny Kritisk sårbarhet i FortiClientEMS

Fortinet har sluppet sikkerhetsoppdateringer for en kritisk sårbarhet i FortiClientEMS (CVE-2026-21643) med en alvorlighetsgrad på 9,1, som kan gjøre det mulig for en uautorisert angriper å kjøre vilkårlig kode gjennom SQL‑injeksjon via spesiallagde HTTP‑forespørsler.

Feilen berører spesielt FortiClientEMS 7.4.4, som må oppgraderes til versjon 7.4.5 eller nyere, mens versjonene 7.2 og 8.0 ikke er påvirket. Oppdagelsen krediteres Fortinets eget sikkerhetsteam, og selv om det ikke finnes tegn til aktiv utnyttelse, anbefales rask patching.

Dette kommer samtidig som Fortinet har håndtert en annen kritisk sårbarhet (CVE-2026-24858) i flere av sine produkter, som har blitt aktivt utnyttet til å opprette admin kontoer, endre konfigurasjoner og hente ut brannmurdata.

Microsoft Exchange Online markerer legitime e-poster som phishing

Microsoft bekrefter et pågående problem med Exchange Online hvor legitime e-poster blir feilaktig merket som phishing og satt i karantene.

Problemet startet 5. februar 2026 og påvirker kunder ved at både sending og mottak av e-post er forstyrret. Årsaken er en ny URL-regel i systemets antiphishing filtre som feilaktig vurderer enkelte trygge lenker som skadelige, noe som fører til at e-postene blir klassifisert som phishing og sperret.

Microsoft jobber med å løslate karanterte meldinger tilbake til innbokser og fjerne blokkeringen av legitime URL-er, men har ikke offentliggjort nøyaktig estimat for når hele problemet er løst. Tidligere har lignende feil forekommet i Exchange Online-tjenesten.

Monday, 9 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.09

Cyberangrep rammer OL-forberedelser i Italia – kobles til russiske aktører. Anthropic Claude Opus 4.6 bruker AI til å finne 500+ ukjente sårbarheter i åpen kildekode. PST trusselvurdering 2026.


Cyberangrep rammer OL-forberedelser i Italia – kobles til russiske aktører

Italienske myndigheter har avdekket pågående cyberangrep mot digitale systemer knyttet til vinter-OL i Milano-Cortina 2026. Angrepene har rammet offentlige nettsteder, transportrelaterte tjenester og arrangementsinfrastruktur, og knyttes til trusselaktører med tilknytning til Russland. Aktiviteten har hovedsakelig bestått av tjenestenektangrep (DDoS) og forsøk på å forstyrre offentlig tilgjengelige tjenester.

Ifølge italienske sikkerhetsmyndigheter inngår angrepene i bredere statlig støttede påvirkningsoperasjoner, der internasjonale sportsarrangementer brukes som symbolske mål i en geopolitisk kontekst. Hendelsene illustrerer hvordan store arrangementer med høy synlighet representerer attraktive mål for cyberoperasjoner, og understreker behovet for styrket beskyttelse av eksponert infrastruktur og økt digital beredskap i forkant av slike arrangementer.

Anthropic Claude Opus 4.6 bruker AI til å finne 500+ ukjente sårbarheter i åpen kildekode

AI-selskapet Anthropic har lansert sin nyeste store språkmodell Claude Opus 4.6, som har utmerket seg med evnen til å identifisere sikkerhetssvakheter i programvare på et nivå som tradisjonelle verktøy sliter med. Under intern testing fant modellen mer enn 500 tidligere ukjente høy-alvorlige sårbarheter i populære åpen kildekode-biblioteker som Ghostscript, OpenSC og CGIF, inkludert feil som kan føre til systemkrasj og bufferoverflow-problemer. Modellen gjorde dette uten spesialtilpassede verktøy eller detaljerte instruksjoner, ved i stedet å resonere om kode på en måte som ligner en menneskelig forsker.

Evnen til å oppdage slike feil “out-of-the-box” markerer et skifte i hvordan AI kan brukes til sikkerhetsanalyse og sårbarhetsjakt. Samtidig understreker funnene viktigheten av hurtig patching og sikker gjennomgang av avhengigheter, spesielt i programvare der tradisjonelle fuzzere og automatiske tester ofte går glipp av komplekse logiske feil. Opus 4.6 representerer både et verktøy for forsvarere og et signal om hvordan avansert AI kan endre landskapet for programvaresikkerhet fremover.

PST trusselvurdering 2026

Norge står overfor et skjerpet og vedvarende cybertrusselbilde i 2026, ifølge den nye Nasjonale trusselvurderingen fra Politiets sikkerhetstjeneste (PST). Rapporten slår fast at cyberoperasjoner er det viktigste virkemiddelet fremmede stater bruker for etterretning mot Norge.

Russland, Kina, Iran og Nord-Korea gjennomfører cyberoperasjoner direkte eller via såkalte proxy-aktører. Angrepene retter seg mot både offentlige og private virksomheter og benyttes til etterretning, kartlegging av digital infrastruktur, påvirkningsoperasjoner og i enkelte tilfeller sabotasje. PST forventer at flere slike operasjoner vil lykkes i året som kommer.

Trusselaktørene utnytter både tekniske sårbarheter, som svakheter i rutere og zero-day-feil i e-postsystemer, og menneskelige sårbarheter gjennom avansert sosial manipulering. Kinesiske aktører trekkes frem som særlig aktive i det digitale domenet, og PST advarer om at kunstig intelligens vil gjøre cyberangrep mer målrettede, effektive og vanskeligere å oppdage.

PST understreker at cybersikkerhet er et felles ansvar og oppfordrer virksomheter til å styrke beskyttelsestiltak, situasjonsforståelse og rapportering av mistenkelig digital aktivitet.

Friday, 6 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.06

F5 fikser kritiske sårbarheter i BIG-IP, NGINX og relaterte produkter. Hackere bruker Windows Screensaver til å distribuere RMM-verktøy og få ekstern tilgang til systemer. Spamkampanje distribuerer falske PDF-er og installerer verktøy for fjernovervåking for vedvarende tilgang.


F5 fikser kritiske sårbarheter i BIG-IP, NGINX og relaterte produkter

F5 har publisert sin februar 2026 Quarterly Security Notification med oppdateringer som adresserer flere sårbarheter og sikkerhetseksponeringer i produkter som F5 BIG-IP, NGINX Plus, og tilknyttede tjenester. Disse feilene inkluderer hovedsakelig risikoer relatert til denial-of-service (DoS) og konfigurasjonssvakheter som kan føre til tjenesteavbrudd i miljøer som web applikasjonsbrannmurer og Kubernetes innganger. Selv om det ikke er rapportert om aktiv utnyttelse i det fri per nå, oppfordres F5 brukere, spesielt de med internett eksponerte systemer, til å oppdatere til de nyeste oppdaterte versjonene for å redusere risikoen for misbruk.

Anbefaling:

Installer de siste sikkerhetsoppdateringene umiddelbart på alle påvirkede F5 produkter (BIG-IP, NGINX Plus, osv.) for å forhindre mulige DoS angrep og begrense risiko for tjenesteavbrudd.

Hackere bruker Windows Screensaver til å distribuere RMM-verktøy og få ekstern tilgang til systemer

En ny og aktiv kampanje har blitt avdekket der angripere utnytter Windows skjermsparer filer (.scr) som et angrepsvektor for å kompromittere systemer. Teknikken begynner med en spear-phishing-e-post som lokker brukere til å laste ned en fil som ser ut som et legitimt forretningsdokument, men som egentlig er en .scr-fil som Windows kjører som et ekte program. Når filen kjøres, installeres et legitimt RMM-verktøy (Remote Monitoring and Management), som for eksempel SimpleHelp, stille og automatisk. Fordi disse verktøyene normalt brukes for gyldig ekstern administrasjon, utløser installasjonen ofte ikke sikkerhetsalarmer, og angriperne får dermed vedvarende fjernkontroll over systemet, kan stjele data, bevege seg lateralt i nettverket og potensielt distribuere skadelig programvare som ransomware. Dette representerer en skifte i trusselmetodikk ved å bruke anerkjente verktøy og tjenester som sky-hosting for å skjule ondsinnet aktivitet.

Spamkampanje distribuerer falske PDF-er og installerer verktøy for fjernovervåking for vedvarende tilgang

En aktiv spamkampanje sprer e-poster med tilsynelatende PDF-vedlegg som “Invoice_Details.pdf” eller “Defective_Product_Order.pdf” for å lure mottakere til å installere Remote Monitoring and Management (RMM) verktøy. Når offeret åpner PDF-en vises en falsk feilmelding om at dokumentet ikke kan lastes, og brukeren blir bedt om å klikke en lenke som ser ut som en Adobe nedlastingsside. I stedet for Adobe installeres RMM programvare som ScreenConnect, Syncro, NinjaOne eller SuperOps, som er legitime programvarer brukt til IT administrasjon, men her misbrukes den for å gi angripere vedvarende fjernkontroll over systemet. Programvaren er digitalt signert og omgår derfor ofte antivirus og sikkerhetsverktøy, noe som gir angripere full tilgang til maskinen med mulighet for filoverføring, skjermkontroll og langvarig tilgang

Thursday, 5 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.05

CISA: VMware ESXi-sårbarhet utnyttes nå i løsepenge-angrep. Hackere kompromitterer NGINX-servere for å omdirigere brukertrafikk.


CISA: VMware ESXi-sårbarhet utnyttes nå i løsepenge-angrep

CISA har bekreftet at en sårbarhet i VMware ESXi (en hypervisor brukt til virtualisering) nå blir aktivt utnyttet av ransomware grupper. Sårbarheten er en arbitrary write sandbox escape, sporet som CVE-2025-22225.

Dette er den samme feilen som tidligere ble rapportert som en zero-day som ble rettet i mars 2025, sammen med to andre sårbarheter: CVE-2025-22224 og CVE-2025-22226.

Sårbarheten gjør det mulig for en angriper med privilegert tilgang til VMX-prosessen å skrive til kernel og omgå hypervisorens isolasjonsmekanismer. Dette kan gi full kontroll over hypervisoren og potensielt alle virtuelle maskiner som kjører på den.

Anbefaling:

Det anbefales å oppdatere alle berørte systemer i henhold til VMware sine sikkerhetsanbefalinger, og å rulle ut tilgjengelige oppdateringer som adresserer CVE-2025-22225, samt tilhørende sårbarhetene: CVE-2025-22224 og CVE-2025-22226.

Hackere kompromitterer NGINX-servere for å omdirigere brukertrafikk

Forskere ved DataDog Security Labs har avdekket at en trusselaktør aktivt kompromitterer NGINX-servere ved å injisere ondsinnede konfigurasjonsblokker i eksisterende NGINX-konfigurasjoner. Dette gjør at legitime brukerforespørsler blir fanget på bestemte URL-baner og deretter videresendt via angriperkontrollerte domener ved bruk av proxy_pass direktivet. Angrepet rammer særlig NGINX-instanser administrert med Baota-paneler og nettsteder med asiatiske TLD-er (.in, .id, .pe, .bd, .th) samt .edu og .gov-domener. Angrepet utnytter ikke en sårbarhet i NGINX-programvaren, men manipulerer konfigurasjonsfiler noe som gjør det vanskelig å oppdage uten spesifikk overvåkning. Trafikkbelastningen ser ofte legitim ut og passerer vanligvis til den opprinnelige destinasjonen, noe som kan skjule den ondsinnede videresendingen og eksponere brukere for risiko som datafangst, phishing eller levering av skadelig innhold.

Wednesday, 4 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.04

Hackere utnytter kritisk React Native Metro sårbarhet for å bryte seg inn i utviklersystemer. APT28 utnytter ny Microsoft Office sårbarhet .


Hackere utnytter kritisk React Native Metro sårbarhet for å bryte seg inn i utviklersystemer

Hackere utnytter aktivt en kritisk sårbarhet i Metro serveren som brukes i React Native utviklingsmiljøer. Feilen "CVE-2025-11953" gjør at en angriper uten autentisering kan sende spesiallagde POST forespørsler til en /open-url endepunkt og dermed kjøre vilkårlige operativsystemkommandoer på både Windows og Linux/macOS maskiner. Angrepet har blitt observert fra desember 2025 til januar 2026 der skadelig kode leveres og kjøres, blant annet ved å deaktivere sikkerhetsbeskyttelse og installere ytterligere skadevare. Sårbarheten påvirker @react-native-community/cli-server-api versjoner 4.8.0 til 20.0.0-alpha.2 og er fikset i versjon 20.0.0 og senere. Ca. 3 500 Metro servere er fortsatt eksponert på internett, og aktive utnyttelser rapporteres i flere kampanjer.

Anbefaling:

Oppdater til sikker versjon (Metro 20.0.0 eller nyere), sikre utviklingsmiljøer mot internett eksponering, overvåk trafikk for uvanlige forespørsler og behandle utviklingsservere med samme sikkerhetskontroller som produksjonssystemer.

Sårbarheter:

APT28 utnytter ny Microsoft Office sårbarhet

Russisk tilknyttede APT28 utnyttet sårbarheten kun tre dager etter offentliggjøring. Kampanjen «Operation Neusploit» retter seg mot Ukraina, Slovakia og Romania via ondartede RTF filer med lokaliserte lokkemidler.

Angrepet leverer enten MiniDoor som stjeler e-post fra Outlook eller PixyNetLoader, som etablerer persistens via COM kapring og dropper Covenant Grunt implantatet. CERT-UA rapporterer over 60 ukrainske myndighetsmål.

Anbefaling:

Patch CVE-2026-21509 umiddelbart. Blokker WebDAV tilkoblinger til ukjente eksterne ressurser. Overvåk for COM kapring og mistenkelig DLL aktivitet fra explorer.exe

Sårbarheter:

Tuesday, 3 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.03

Apple styrker personvernet i iOS 26.3 med ny funksjon som lar brukere begrense hvor nøyaktig posisjonsdata mobiloperatører kan samle inn.


Ny personvernfunksjon fra Apple begrenser posisjonssporing på iPhone og iPad

Apple introduserer en ny personvernfunksjon i iOS 26.3 som lar brukere begrense hvor presis posisjonsdata som deles med mobiloperatører. Med innstillingen «Begrens presis posisjon» vil mobilnett kun se en omtrentlig plassering, som nabolag, i stedet for en eksakt adresse. Funksjonen påvirker ikke nødanrop eller posisjonsdeling med apper og tjenester som «Hvor er?».

Funksjonen er foreløpig kun tilgjengelig på utvalgte iPhone- og iPad-modeller og støttes bare av enkelte mobilnett. Tiltaket kommer i kjølvannet av at FCC tidligere har ilagt store bøter til mobiloperatører for misbruk av posisjonsdata, og regnes som et viktig steg for å redusere hvor detaljert informasjon operatører kan samle om brukernes bevegelser.

Anbefaling:

Oppdater til iOS 26.3 eller nyere dersom enheten og operatøren støtter funksjonen. Aktiver «Begrens presis posisjon» i mobilinnstillingene for bedre personvern. Fortsett å gjennomgå apptillatelser for posisjonstjenester separat, da disse ikke påvirkes av funksjonen. Organisasjoner bør følge med på operatørstøtte og vurdere personvernkonsekvenser for ansatte som bruker firmatelefoner.

Monday, 2 February 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.02

Notepad++ sin offisielle oppdateringsmekanisme ble kapret for å levere skadevare til utvalgte brukere. Ny personvernfunksjon fra Apple begrenser posisjonssporing på iPhone og iPad.


Notepad++ sin offisielle oppdateringsmekanisme ble kapret for å levere skadevare til utvalgte brukere

Vedlikeholderen av Notepad++ har avslørt at statssponsede angripere kapret programmets oppdateringsmekanisme og omdirigerte oppdateringstrafikk til ondsinnede servere. Angrepet skyldtes en svakhet hos hosting-leverandøren, ikke en feil i selve Notepad++-koden, og gjorde det mulig å levere manipulerte oppdateringer via WinGUp til utvalgte brukere.

Ifølge sikkerhetsforsker Kevin Beaumont ble angrepet brukt av Kina-tilknyttede trusselaktører for å spre skadevare. Hendelsen startet trolig i juni 2025 og varte frem til desember samme år. Notepad++ har nå flyttet nettstedet til en ny hosting-leverandør.

Ny personvernfunksjon fra Apple begrenser posisjonssporing på iPhone og iPad

Apple introduserer en ny personvernfunksjon i iOS 26.3 som lar brukere begrense hvor presis posisjonsdata som deles med mobiloperatører. Med innstillingen «Begrens presis posisjon» vil mobilnett kun se en omtrentlig plassering, som nabolag, i stedet for en eksakt adresse. Funksjonen påvirker ikke nødanrop eller posisjonsdeling med apper og tjenester som «Hvor er?».

Funksjonen er foreløpig kun tilgjengelig på utvalgte iPhone- og iPad-modeller og støttes bare av enkelte mobilnett. Tiltaket kommer i kjølvannet av at FCC tidligere har ilagt store bøter til mobiloperatører for misbruk av posisjonsdata, og regnes som et viktig steg for å redusere hvor detaljert informasjon operatører kan samle om brukernes bevegelser.

Anbefaling:

Oppdater til iOS 26.3 eller nyere dersom enheten og operatøren støtter funksjonen. Aktiver «Begrens presis posisjon» i mobilinnstillingene for bedre personvern. Fortsett å gjennomgå apptillatelser for posisjonstjenester separat, da disse ikke påvirkes av funksjonen. Organisasjoner bør følge med på operatørstøtte og vurdere personvernkonsekvenser for ansatte som bruker firmatelefoner.

 
>