Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Wednesday, 9 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.09

SAP varsler om fire kritiske sårbarheter. Microsoft publiserer sikkerhetsoppdateringer for september. FortiSandbox sårbarhet gir innsyn i sensitiv informasjon.

SAP varsler om fire kritiske sårbarheter

Oppsummering:
SAP har varslet om 19 nye sikkerhetsnotater og en oppdatering av et tidligere notat. Fire av sårbarhetene er kritiske, og tre kan utnyttes uten autentisering. SAP anbefaler umiddelbar oppdatering av systemer som er eksponert mot Internett.

Anbefaling:

Oppdater umiddelbart for enheter som er eksponert mot Internett. For øvrige enheter bør sikkerhetsoppdateringer installeres senest 16. september 2026.

Microsoft publiserer sikkerhetsoppdateringer for september

Microsoft har publisert månedlige sikkerhetsoppdateringer for september 2026 med 974 sårbarheter, hvorav 110 er vurdert som kritiske. En av de fremhevede sårbarhetene i Windows Update Stack er observert aktivt utnyttet og gir lokal rettighetseskalering til SYSTEM.

Anbefaling:

Alle Windows enheter og internetteksponerte Microsoft systemer bør oppdateres umiddelbart. Oppdateringer for resterende, ikke kritiske sårbarheter bør installeres senest 14. september 2026.

FortiSandbox sårbarhet gir innsyn i sensitiv informasjon

Fortinet har offentliggjort en sårbarhet i FortiSandbox som gjør det mulig for uautentiserte angripere å hente ut sensitiv informasjon gjennom spesialutformede HTTP forespørsler. Feilen skyldes mangelfull tilgangskontroll i produktets webgrensesnitt. Fortinet opplyser at de ikke har bevis for aktiv utnyttelse av sårbarheten per publiseringsdato.

Anbefaling:

Fortinet anbefaler å oppgradere berørte installasjoner til de korrigerte versjonene: FortiSandbox 5.0.6 eller nyere, FortiSandbox 4.4.9 eller nyere, samt FortiSandbox Cloud og FortiSandbox PaaS 5.0.6 eller nyere der dette er relevant.

Sårbarheter:

Posted by tsoc at 13:09 0 comments

Tuesday, 8 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.08

Angripere tar kontroll over MikroTik rutere gjennom nye RouterOS sårbarheter. BigBear phishing tjeneste omgår MFA hos 258 organisasjoner. Linux rotkit skjuler webskall i minnet på kompromitterte F5 BIG IP servere. LG TV-er knyttet til lydopptak og nettverksovervåking.

Angripere tar kontroll over MikroTik rutere gjennom nye RouterOS sårbarheter

Flere av MikroTiks programvarekomponenter har sårbarheter som utnyttes av angripere, opplyser CERT Poland.

Mikrotik er utbredt, og brukes bl.a. av mange bredbåndsleverandører som setter sitt navn på produktet.

 To av sårbarhetene utnytter forskjellige svakheter i SSH på RouterOS og gir angripere uattorisert tilgang og kan gi admin-rettigheter.

 Den tredje sårbarheten kan medføre tap av data og/eller tjenstenekt.

Polske CERT beskriver som aktive og oppgir at angripere kombinerer dem i virkelige angrep.

Anbefaling:

MikroTik har publisert sikkerhetsoppdateringer for RouterOS versjoner 7.25beta3, 7.24.2, 7.23.4 og 6.49.21. Dersom oppdatering ikke kan installeres umiddelbart, anbefales det å begrense eller deaktivere eksternt tilgjengelige SSH, WWW/WWW-SSL og bandwidth-test tjenester. Ved mistanke om kompromittering anbefales isolering av ruteren, bevaring av logger og konfigurasjon, fabrikktilbakestilling og gjenoppbygging fra en betrodd konfigurasjon.

BigBear phishing tjeneste omgår MFA hos 258 organisasjoner

Phishingtjenesten BigBear 2.0 har blitt brukt til å omgå flerfaktorautentisering hos 258 organisasjoner og stjele mer enn 5 000 Microsoft 365 legitimasjoner. Ifølge CloudSEK benyttet kampanjen en Evilginx2 mellommannsløsning som fanget opp passord og autentiserte øktkapsler for å overta brukerkontoer etter gjennomført MFA. Infrastruktur knyttet til kampanjen var fortsatt aktiv da funnene ble publisert.

Anbefaling:

Det anbefales at organisasjoner som kan være berørt bør tilbakestille eksponerte passord, tilbakekalle aktive sesjoner, fornye tokens og tvinge ny autentisering for privilegerte kontoer. Videre anbefales det også at organisasjoner benytter phishing resistent MFA som FIDO2/WebAuthn, samt Conditional Access policyer som begrenser tilgang til administrerte og godkjente enheter.

Linux rotkit skjuler webskall i minnet på kompromitterte F5 BIG IP servere

Et Linux rootkit er brukt mot kompromitterte F5 BIG IP APM servere for å skjule PHP webshell direkte i minnet. Metoden kan gi vedvarende tilgang selv om filer på serveren ser uendrede ut. Sophos knytter aktiviteten til BIG IP APM miljøer med Apache og PHP.

Anbefaling:

Ved mistanke om kompromittering bør flyktige bevis bevares og Apache prosesser, minnekart og lokale Unix sockets undersøkes. Følg F5s veiledning for utbedring og installer siste sikkerhetsoppdateringer.

Sårbarheter:

LG TV-er knyttet til lydopptak og nettverksovervåking

Forskere hevder at flere LG TV-modeller kartlegger enheter på lokale nettverk og samler inn nettverksinformasjon. De demonstrerte også at en kompromittert TV kunne ta opp lyd via mikrofonen, også når TV-en fremsto som avslått.

Det er p.t. ikke kjent hvor disse dataene havner.

Anbefaling:

Installer tilgjengelige fastvareoppdateringer, gjennomgå personverninnstillinger og deaktiver funksjoner som ACR og stemmegjenkjenning dersom de ikke er nødvendige. Det anbefales også å plassere TV-er på et separat nettverk hvis mulig(de fleste hjemmerutere støtter dette) og deaktivere UPnP hvis funksjonen ikke er i bruk.

Posted by tsoc at 12:08 0 comments

Monday, 7 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.07

Angrep rettes mot kritisk omgåelse av autentisering i Citrix NetScaler. Over 5 400 kompromitterte nettsteder brukes til å levere ClickFix-angrep via blokkjeden.

Angrep rettes mot kritisk omgåelse av autentisering i Citrix NetScaler

Angripere har begynt å rette angrep mot den kritiske Citrix NetScaler sårbarheten CVE-2026-19490, ifølge sikkerhetsselskapet Previdian. Sårbarheten gjør det mulig å omgå autentisering eksternt under bestemte NetScaler-konfigurasjoner. Det er observert forsøk på utnyttelse, men det foreløpig ikke er bekreftet kompromittering av faktiske systemer.

Anbefaling:

Citrix anbefaler at kunder gjennomgår den offisielle sikkerhetsmeldingen, vurderer om deres installasjoner er berørt og oppgraderer berørte NetScaler-enheter til de anbefalte versjonene så raskt som mulig. Belgiske NCC-BE oppfordrer også til å prioritere sikkerhetsoppdatering av alle sårbare Citrix NetScaler-enheter.

Over 5 400 kompromitterte nettsteder brukes til å levere ClickFix-angrep via blokkjeden

Mer enn 5 400 kompromitterte nettsteder brukes til å distribuere ClickFix-laster der ondsinnet JavaScript hentes fra data lagret på blokkjeden. Teknikken gjør det mulig for angripere å endre innholdet som leveres til ofre uten å måtte endre selve nettstedet. Sikkerhetsforskerne anbefaler at forsvarere blokkerer hele utvalget av BSC Testnet RPC-endepunkter, som er lenket til i artikkelen, og overvåker ikke-webbasert UDP-trafikk knyttet til WebRTC.

Posted by tsoc at 13:02 0 comments

Friday, 4 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.04

Kritisk sårbarhet i Cisco Nexus 9000 muliggjør uautentisert kjøring av kode som root. Plex ber brukere installere sikkerhetsoppdateringer umiddelbart.

Kritisk sårbarhet i Cisco Nexus 9000 muliggjør uautentisert kjøring av kode som root

Cisco har publisert sikkerhetsoppdateringer for en kritisk sårbarhet i 10 Silicon One-baserte Nexus 9000-svitsjer som kan la en uautentisert fjernangriper kjøre kode med root-rettigheter. Sårbarheten, CVE-2026-20212, har CVSS 9,8 og berører 45 NX-OS-utgivelser ifølge artikkelen.

Anbefaling:

Anbefalinger: Cisco anbefaler å oppgradere til utgivelsen angitt av Software Checker. Inntil dette er gjort, kan iACL brukes til å blokkere TCP-port 43210 og 43211, eller den midlertidige Live Protect-beskyttelsen benyttes der den støttes.

Sårbarheter:

Plex ber brukere installere sikkerhetsoppdateringer umiddelbart

Plex har oppfordret brukere til å oppdatere Plex Media Server og Plex Desktop for å rette flere sikkerhetssårbarheter. Sårbarhetene påvirker Plex Media Server v1.43.2 og eldre versjoner, men det er foreløpig ikke publisert detaljer eller CVE koder. Selskapet har også sendt e post til berørte brukere med anbefaling om rask oppdatering.

Anbefaling:

Plex anbefaler at alle servereiere og brukere av Plex Desktop oppdaterer til Plex Media Server 1.43.3 og Plex Desktop 1.115.0 så snart som mulig. Brukere av NAS enheter kan installere oppdateringen manuelt dersom den ennå ikke er tilgjengelig via enhetens pakkebehandler.

Posted by tsoc at 12:12 0 comments

Thursday, 3 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.03

SonicWall SMA1000 sårbarheter utnyttes aktivt. Ondsinnede Git konfigurasjoner kan kjøre kode via AI agenter. CrowdStrike Falcon skal ha en ny 0 dagssårbarhet.

SonicWall SMA1000 sårbarheter utnyttes aktivt

CISA har lagt to sårbarheter i SonicWall SMA1000 inn i katalogen over kjente, aktivt utnyttede sårbarheter. Den ene tillater kommandoinjeksjon for en autentisert administrator, mens den andre er en SSRF sårbarhet som kan utnyttes uten autentisering.

Anbefaling:

Følg leverandørens tiltak og CISA sin veiledning. Dersom tiltak ikke er tilgjengelige, vurder å avslutte bruken av produktet.

Ondsinnede Git konfigurasjoner kan kjøre kode via AI agenter

Åtte sikkerhetsfeil i syv AI agenter for koding kan føre til at kommandoer fra et Git depot kjøres på utviklerens maskin uten godkjenning. Fire av sårbarhetene var fortsatt ikke rettet da saken ble publisert.

Anbefaling:

Kontroller .git/config før mottatte kataloger åpnes med en AI agent, og vurder å deaktivere core.fsmonitor som standard

CrowdStrike Falcon skal ha en ny 0 dagssårbarhet

En sikkerhetsforsker hevder å ha funnet en sårbarhet i CrowdStrike Falcon Sensor som kan gi lokal rettighetseskalering på Windows. Påstanden er ikke uavhengig verifisert, og CrowdStrike hadde ikke bekreftet sårbarheten eller publisert en sikkerhetsoppdatering da saken ble skrevet.

Posted by tsoc at 12:05 0 comments

Wednesday, 2 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.02

Nær 22 000 Microsoft Exchange servere fortsatt sårbare.

Nær 22 000 Microsoft Exchange servere fortsatt sårbare

Nær 22 000 internetteksponerte Microsoft Exchange servere er fortsatt ikke oppdatert mot CVE-2026-62911, en autentiseringsomgåelse som ifølge Microsoft kan gi tilgang til alle brukeres postbokser. Artikkelen viser til at konseptbevis allerede er tilgjengelig på nettet, samtidig som store mengder Exchange servere fortsatt er ubeskyttet. Dette gjør sårbarheten særlig relevant for virksomheter som fortsatt bruker Exchange Server lokalt.

Anbefaling:

Microsoft har gjort sikkerhetsoppdateringer tilgjengelig og anbefaler at disse installeres så raskt som mulig. NCSC-NL anbefaler at Exchange Server 2016 og 2019 kun er tilgjengelige internt dersom de fortsatt er i bruk, og at de erstattes dersom det er mulig.

Posted by tsoc at 13:11 0 comments

Tuesday, 1 September 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.09.01

TerminalFix bruker falske Cloudflare CAPTCHA er til å åpne bakdør mot interne nettverk. Produkter fra Cisco kan være kompromittert.

TerminalFix bruker falske Cloudflare CAPTCHA er til å åpne bakdør mot interne nettverk

Microsoft har avdekket en ny variant av ClickFix-svindel kalt TerminalFix, som bruker falske Cloudflare verifiseringssider for å lokke brukere til å kjøre skadelige PowerShell-kommandoer. Kode på den falske verifikasjonsiden gjør at en bakdør installerer på offerets maskin som gir angripere tilgang til interne nettverk og mulighet til videre kartlegging av miljøet. Angriperne kan deretter bruke tilgangen til å identifisere og kommunisere med andre systemer som er tilgjengelige fra den kompromitterte maskinen.

Anbefaling:

Begrens og logg PowerShell, overvåk DLL sideloading og uvanlig bruk av LockScreenContentServer.exe. Ved kompromittering bør lateral bevegelse undersøkes og legitimasjon roteres.

Produkter fra Cisco kan være kompromittert

Den kinesisktilknyttede spionasjegruppen Fire Ant skal ha kompromittert Cisco IOS XR rutere, TACACS-servere og Linuxbaserte administrasjonsverter. Ifølge sikkerhetsfirmaet Sygnia blir infrastrukturen brukt til å fange nettverkstrafikk, samle inn legitimasjon og skjule spor gjennom manipulering av logger og telemetri. Aktivitet mot tilknyttede miljøer innen kritisk infrastruktur er tilsynelatende begrenset til skanning og tilkoblingsforsøk, uten bekreftet kompromittering.

Anbefaling:

Sygnia anbefaler, ved mistanke om kompromittering, at logger bør kontrolleres mot data fra minne, disk, nettverk, autentisering og konfigurasjon. Logger alene anses ikke som tilstrekkelig for å bekrefte eller avkrefte kompromittering.

Posted by tsoc at 11:47 0 comments
Subscribe to: Posts (Atom)
 
>