Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Monday, 19 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.19

Angrep mot Nextcloud via kritisk Collabora sårbarhet. Drupal retter kritiske RCE-sårbarheter – advarer om at utnyttelser kan komme raskt. MALFEX skjuler skadevare i npm-pakken imgdecode. Plex sårbarheter utnyttes til kryptoutvinning.

Angrep mot Nextcloud via kritisk Collabora sårbarhet

Angripere utnytter den kritiske sårbarheten CVE-2026-110447 i Collabora Online Built-in CODE Server for Nextcloud for å installere PHP webskall på utsatte servere. Angrepene skal ha pågått siden september, før sikkerhetsvarsel og CVE ble publisert. Berørte administratorer rapporterer søk etter passorddatabaser, passordhåndteringsdata og kryptolommebøker. [bleepingcomputer.com]

Anbefaling:

Oppgrader til versjon 26.4.303 eller nyere. Fjern Built-in CODE Server appen dersom den ikke er nødvendig, da leverandøren opplyser at det ikke er tilstrekkelig å bare deaktivere den.

Sårbarheter:

Drupal retter kritiske RCE-sårbarheter – advarer om at utnyttelser kan komme raskt

Drupal har rettet to kritiske sårbarheter for fjernkjøring av kode i Field UI i Drupal Core og modulen Entity List. Sårbarhetene berører støttede Drupal versjoner, og minst én kjent angrepsvei for hver sårbarhet krever ikke autentisering. Drupal advarer om at fungerende utnyttelser kan utvikles kort tid etter offentliggjøringen.

Anbefaling:

Oppdater Drupal Core til versjon 10.6.19, 11.3.19 eller 11.4.10, oppdater Entity List til 3.0.10. Dersom Drupal Core ikke kan oppdateres umiddelbart. Som midlertidig tilltak avinstallere Field UI modulen.

MALFEX skjuler skadevare i npm-pakken imgdecode

Sikkerhetsforskere har avdekket den ondsinnede npm-pakken imgdecode, som inngår i MALFEX-kampanjen og skjuler en shellcode-loader i en kompilert Windows-DLL. Skadevaren kan laste ned og dekryptere kode, injisere den i dllhost.exe og stjele sensitive data fra blant annet nettlesere, kryptolommebøker og meldingsapper. Pakken var fortsatt tilgjengelig på npm da artikkelen ble publisert.

Anbefaling:

Utviklere som har installert de aktuelle pakkene, bør behandle Windows-systemene som potensielt kompromittert, isolere dem og undersøke etter mekanismer for vedvarende tilgang. Roter legitimasjon, og overfør kryptovaluta til nye lommebøker dersom seed phrases kan ha blitt eksponert.

Plex sårbarheter utnyttes til kryptoutvinning

Angripere utnytter en kjede av fire sårbarheter i Plex Media Server for å kjøre kode og installere XMRig kryptoutvinningsprogramvare. Aktiv utnyttelse ble observert mot en eksponert honeypot, og forskeren observerte også proxyrelatert aktivitet. Omfanget av kompromitterte systemer og hvem som står bak er foreløpig ukjent.

Anbefaling:

Oppdater til nyeste Plex versjon og verifiser installert versjon, spesielt på NAS systemer og Docker miljøer

Posted by tsoc at 12:56 0 comments

Friday, 16 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.16

Kritisk Linux kjernefeil muliggjorde KVM escape. Proof of Concept publisert for kritisk GitLab sårbarhet. Kritisk Adobe Acrobat feil åpner for kodekjøring via PDF. CISA varsler om aktiv utnyttelse av PAN‑OS sårbarhet.

Kritisk Linux kjernefeil muliggjorde KVM escape

En kritisk sårbarhet i Linux kjernen, sporet som CVE-2026-99999 og kalt PwnEscape, gjør det mulig for en angriperkontrollert virtuell maskin å eksponere minne fra vertssystemet. Forskeren bak funnet demonstrerte også kodekjøring på vertsnivå i et kontrollert testmiljø. Feilen ligger i Linux nettverkskoden og ikke i en spesifikk hypervisor.

Anbefaling:

Oppdater vertssystemets Linux kjerne til en versjon som inneholder rettelsen, og restart systemet.

Sårbarheter:

Proof of Concept publisert for kritisk GitLab sårbarhet

Det er publisert en Proof of Concept for CVE-2026-97229. Dette er en kritisk GitLab sårbarhet som gir kommandoutførelse på sårbare servere. Utnyttelsen retter seg mot GitLabs CI/CD funksjonalitet og krever tilgang til å pushe en branch til et offentlig prosjekt. GitLab har gitt sårbarheten CVSS 10.0

Anbefaling:

Oppgrader til GitLab CE/EE 19.2.8, 19.3.5, 19.4.2 eller nyere støttet versjon.

Sårbarheter:

Kritisk Adobe Acrobat feil åpner for kodekjøring via PDF

Adobe har rettet en sårbarhet i Acrobat og Acrobat Reader der en ondsinnet PDF kan utløse minnekorrupsjon når filen åpnes. Feilen spores som CVE-2026-81983 og kan føre til kodekjøring med brukerens rettigheter. Adobe opplyser at de ikke har observert aktiv utnyttelse.

Anbefaling:

Installer de oppdaterte versjonene av Acrobat og Acrobat Reader.

Sårbarheter:

CISA varsler om aktiv utnyttelse av PAN‑OS sårbarhet

CISA har lagt til en PAN‑OS sårbarhet i sin liste over kjente aktivt utnyttede sårbarheter etter bekreftet utnyttelse i angrep. Sårbarheten gir en autentisert angriper mulighet til å kjøre kode med root rettigheter via PAN‑OS administrasjonsgrensesnittet. Palo Alto Networks har publisert sikkerhetsoppdateringer for berørte versjoner.

Anbefaling:

Oppdater til en støttet og utbedret PAN‑OS versjon, inkludert PAN‑OS 12.2.4 eller nyere for 12.2‑grenen.

Sårbarheter:

Posted by tsoc at 14:01 0 comments

Thursday, 15 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.15

Cisco varsler aktive angrep mot kritisk sårbarhet i Secure Email Gateway. Linux sårbarhet gir lokal privilegieeskalering til root.

Cisco varsler aktive angrep mot kritisk sårbarhet i Secure Email Gateway

Cisco advarer om aktive angrep mot en kritisk sårbarhet i Secure Email Gateway som lar en angriper skrive filer til operativsystemet via en spesiallaget e-post uten innlogging. Lykkes angrepet, kan kommandoer kjøres med root-rettigheter. Berørte systemer er gateway-er med File Reputation aktivert og Content Scanner Tools eldre enn versjon 25.3.0.5525.

Anbefaling:

Oppdater til Content Scanner Tools 25.3.0.5525 eller nyere, eller til en av de korrigerte AsyncOS-versjonene. Cisco opplyser at det ikke finnes noen midlertidig løsning og anbefaler kompromisskontroll via de oppgitte CLI-kommandoene.

Linux sårbarhet gir lokal privilegieeskalering til root

En sårbarhet i Linux vhost subsystemet, identifisert som CVE-2026-74580, gir lokale brukere mulighet til å lese og skrive kjerneminne og oppnå root rettigheter. I enkelte virtualiseringsoppsett kan en gjestemaskin også påvirke vertsens QEMU prosess og ta kontroll over den. Feilen berører Linux kjerner fra versjon 4.11 til 7.2-rc4.

Anbefaling:

Installer en Linux kjerne som inkluderer sikkerhetsoppdateringen og start systemet på nytt. Inntil oppdatering er på plass bør tilgang til /dev/vhost-net og /dev/vhost-vsock begrenses til betrodde virtualiseringstjenester.

Sårbarheter:

Posted by tsoc at 12:04 0 comments

Wednesday, 14 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.14

Microsoft retter rekordhøyt antall sårbarheter inkludert aktivt utnyttet Windows-feil. Ivanti retter aktivt utnyttet sårbarhet i Connect Secure.

Microsoft retter rekordhøyt antall sårbarheter inkludert aktivt utnyttet Windows-feil

Microsoft har publisert sikkerhetsoppdateringer for 1 413 sårbarheter i oktober 2026. En sårbarhet i Windows Shell CVE-2026-96951 er aktivt utnyttet, og kan omgå sikkerhetsfunksjonen Mark of the Web. Artikkelen fremhever også en offentlig kjent sårbarhet i .NET Framework.

Anbefaling:

Prioriter oppdateringer basert på aktiv utnyttelse, alvorlighetsgrad, angrepsvektor og brukerinteraksjon. Gjennomgå Microsofts risikogrupper som støtte for prioriteringen, og vurder hver CVE individuelt.

Ivanti retter aktivt utnyttet sårbarhet i Connect Secure

Ivanti har publisert sikkerhetsoppdateringer for Ivanti Connect Secure som retter en sårbarhet med høy alvorlighetsgrad. Sårbarheten gjør det mulig for en ekstern angriper uten autentisering å kjøre vilkårlige kommandoer. Ivanti opplyser at et begrenset antall kunder var berørt av aktiv utnyttelse da feilen ble offentliggjort.

Anbefaling:

Oppdater berørte Ivanti Connect Secure installasjoner til en av de korrigerte versjonene. Kunder på 22.8.X anbefales å oppdatere til 25.1.1.2 eller nyere, eller til 22.8R2.5 dersom migrering ikke er mulig umiddelbart.

Sårbarheter:

Posted by tsoc at 12:30 0 comments

Tuesday, 13 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.13

GitLab retter kritisk sårbarhet med CVSS 10.0. Kritiske feil i MarkLogic åpner for administratortilgang og kodekjøring.

GitLab retter kritisk sårbarhet med CVSS 10.0

GitLab har publisert sikkerhetsoppdateringer for en kritisk sårbarhet som under visse betingelser kan gi uautentiserte brukere mulighet til å kjøre vilkårlig kode på GitLab servere. Feilen påvirker både Community Edition og Enterprise Edition. Oppdateringene retter også tre andre sårbarheter med høy alvorlighetsgrad.

Anbefaling:

Oppgrader til GitLab 19.4.2, 19.3.5 eller 19.2.8, avhengig av versjon.

Kritiske feil i MarkLogic åpner for administratortilgang og kodekjøring

Progress har publisert sikkerhetsoppdateringer for flere kritiske og høygraderte sårbarheter i MarkLogic Server. Feilene kan gi forhøyede rettigheter, opprettelse av uautoriserte administratorkontoer, kodekjøring, tilgang til legitimasjon og beskyttede data. Berørte versjoner er MarkLogic 11.0–11.3.6 og 12.0–12.0.3.

Anbefaling:

Oppgrader til MarkLogic Server 12.1 eller 11.3.7. Gjennomgå administratorkontoer, forest management tillatelser, Query Console tilgang, autentiseringshendelser og diagnostikklogger før og etter oppgradering.

Posted by tsoc at 12:57 0 comments

Monday, 12 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.12

GitHub Actions arbeidsflyter stjeler legitimasjon fra tusenvis av depot. Rimelige Android telefoner levert med innebygd skadevare. Ny variant av DarkSword stjeler kryptolommebokdata fra iPhone. Kritisk Bricksforge sårbarhet utnyttes mot WordPress nettsteder. Microsoft varsler slutt på oppdateringer for ikke støttede Windowsversjoner. Anthropic stenger internettilgang for interne AI tester etter flere hendelser.

GitHub Actions arbeidsflyter stjeler legitimasjon fra tusenvis av depot

En pågående GhostAction kampanje har brukt kompromitterte GitHub kontoer til å plassere ondsinnede arbeidsflyter i over 340 depot, mens Socket har identifisert mer enn 500 berørte kontoer siden 7. oktober. Arbeidsflytene er utformet for å hente ut GitHub Actions hemmeligheter, sky og AI legitimasjon samt tokens fra arbeidsområdet og hele git historikken.

Rimelige Android telefoner levert med innebygd skadevare

En kampanje kalt Midnight Mimosa er funnet på rimelige Android telefoner hvor skadevare er bygget inn i fastvaren før enhetene når brukeren. Skadevaren kan installere apper i det skjulte, gjennomføre annonsesvindel og bruke telefonene som boligbaserte proxyer. Bitdefender opplyser at tusenvis av enheter i over 150 land skal ha vært berørt over en periode på rundt to år.

Ny variant av DarkSword stjeler kryptolommebokdata fra iPhone

Sikkerhetsforskere har avdekket en ny variant av DarkSword iOS utstyrskassen, kalt P7 DarkSword. Varianten har fått støtte for tyveri av nøkkelringdata og kryptolommebokdata direkte på enheten, samt toveis kommunikasjon med angriperens infrastruktur. Ifølge forskerne brukes DarkSword fortsatt av flere aktører i angrep mot iPhone brukere, og nye varianter viser økt fokus på datatyveri og fjernstyring.

Kritisk Bricksforge sårbarhet utnyttes mot WordPress nettsteder

En kritisk sårbarhet i WordPress utvidelsen Bricksforge er under aktiv utnyttelse ifølge Patchstack. Feilen gjør det mulig for en uautentisert angriper å laste opp og kjøre vilkårlig PHP kode, noe som kan gi full kontroll over berørte nettsteder. Sårbarheten påvirker versjoner til og med 3.1.8.9, og en sikkerhetsoppdatering er tilgjengelig.

Anbefaling:

Brukere bør oppdatere Bricksforge til siste versjon. Nettstedseiere anbefales også å gjennomgå forespørsler mot /wp-json/bricksforge/v1/form_submit som inneholder temporaryFileUploads, kontrollere gjentatte skjemainnleveringer og lete etter uventede PHP filer i wp-content/uploads/bricksforge/tmp/

Sårbarheter:

Microsoft varsler slutt på oppdateringer for ikke støttede Windowsversjoner

Microsoft opplyser at enheter med ikke støttede Windows versjoner mister tilgangen til Windows Update etter sertifikatrotasjoner i mai og juni 2027. Støttede enheter må være oppdatert for å fortsette å motta oppdateringer, mens ikke støttede versjoner må oppgraderes.

Anbefaling:

Identifiser enheter med eldre eller ikke støttede Windows versjoner, hold støttede enheter oppdatert og lag en oppgraderingsplan før mai og juni 2027. Microsoft anbefaler å oppgradere ikke støttede Windows versjoner til en støttet klient eller server.

Anthropic stenger internettilgang for interne AI tester etter flere hendelser

Anthropic stenger internettilgang for interne AI-tester etter flere hendelser der Claude-modeller utførte handlinger de ikke var autorisert til. I ett tilfelle forsøkte modellen å omgå egne begrensninger ved å utnytte SQL- og kommandoinjeksjon i tredjepartssystemer for å fullføre oppgaven den var satt til. Selskapet har derfor stanset internettilgang i interne evalueringer mens sikkerhets- og overvåkingsmekanismer gjennomgås.

Posted by tsoc at 12:18 0 comments

Friday, 9 October 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.10.09

Splunk retter flere sårbarheter i Splunk Enterprise. Kritisk sårbarhet i Citrix NetScaler med risiko for fjernkjøring av kode. FakeGit kampanjen tilbake med 17 610 ondsinnede GitHub-depoter. React feil kan stoppe Next.js servere med én POST forespørsel.

Splunk retter flere sårbarheter i Splunk Enterprise

Splunk har publisert sikkerhetsoppdateringer for flere sårbarheter i Splunk Enterprise, med høyeste oppgitte alvorlighetsgrad på CVSS 9.8. Den mest alvorlige feilen, CVE-2026-76268, kan gi en uautentisert bruker mulighet til å kjøre angriperkontrollerte operativsystemkommandoer på berørte søkehodeklynger. Leverandøren anbefaler oppgradering til korrigerte versjoner av Splunk Enterprise.

Anbefaling:

Oppgrader Splunk Enterprise til versjon 10.4.3, 10.2.7, 10.0.10 eller 9.4.15, eller nyere. For enkelte sårbarheter kreves tilleggstiltak, blant annet oppgradering av Splunk Secure Gateway, konfigurasjonsendringer i limits.conf eller server.conf, bruk av tar-fil ved Linux oppgraderinger, eller deaktivering/fjerning av berørte apper dersom oppgradering ikke er mulig.

Kritisk sårbarhet i Citrix NetScaler med risiko for fjernkjøring av kode

Cloud Software Group har publisert informasjon om en kritisk sårbarhet i Citrix NetScaler ADC og NetScaler Gateway. Sårbarheten kan føre til fjernkjøring av kode eller tjenestenekt på systemer som er konfigurert som SAML SP eller SAML IdP under bestemte versjoner og konfigurasjoner. Berørte kunder oppfordres til å oppgradere til tilgjengelige sikkerhetsoppdateringer.

Anbefaling:

Cloud Software Group anbefaler at berørte kunder oppgraderer til NetScaler ADC og NetScaler Gateway 14.1-73.46 eller nyere, 13.1-64.29 eller nyere, samt tilsvarende oppdaterte FIPS- og NDcPP-versjoner som oppgitt i sikkerhetsbulletinen.

Sårbarheter:

FakeGit kampanjen tilbake med 17 610 ondsinnede GitHub-depoter

FakeGit kampanjen har gjenopptatt aktivitet og bruker nå 17 610 ondsinnede GitHub-depoter til å spre SmartLoader, som videre distribuerer annen skadevare. Ifølge Apiiro ble over 13 000 depoter oppdatert i løpet av 34 timer, hovedsakelig gjennom endringer i README-filer som leder brukere til nedlasting av ondsinnede ZIP-arkiver. Kampanjen viser hvordan angripere kan gjenbruke eksisterende depoter og omgå begrensede tiltak for fjerning av innhold.

React feil kan stoppe Next.js servere med én POST forespørsel

En sårbarhet i React Server Components (CVE-2026-23870) gjør det mulig for en ekstern angriper å utløse tjenestenekt ved å sende spesiallagde POST forespørsler til Server Function endepunkter. Feilen kan føre til høy CPU belastning, manglende respons, minneproblemer og serverkrasj i berørte React 19.x miljøer, inkludert mange Next.js implementeringer. React har publisert rettelser, og berørte organisasjoner oppfordres til å oppgradere. [cybersecur...tynews.com]

Anbefaling:

Oppdater React og berørte React Server Components pakker til de korrigerte versjonene (19.0.6, 19.1.7 eller 19.2.6)

Sårbarheter:

Posted by tsoc at 12:32 0 comments
Subscribe to: Posts (Atom)
 
>