Kritisk sårbarhet i Grafana. APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land. Atomic Stealer distribueres via Script Editor i nye macOS‑angrep.
Kritisk sårbarhet i Grafana
Grafana har publisert viktige sikkerhetsoppdateringer som retter to alvorlige sårbarheter (CVE‑2026‑27876 og CVE‑2026‑27880) i flere støttede versjoner. Den mest kritiske sårbarheten kan, under gitte forutsetninger, utnyttes til ekstern kodekjøring (RCE) i selv‑hostede Grafana‑instanser der SQL Expressions er aktivert og brukere har rettigheter til å kjøre spørringer mot datakilder. Dette kan gi en angriper full kontroll over Grafana‑verten. I tillegg er det identifisert en høyalvorlig sårbarhet som gjør det mulig for uautentiserte angripere å krasje Grafana‑tjenesten via ressurskrevende forespørsler (DoS).
Sårbare versjoner:
12.4.2
12.3.6
12.2.8
12.1.10
11.6.14
Grafana anbefaler at alle berørte instanser oppgraderes umiddelbart til siste patch‑nivå for å redusere risiko og sikre stabil drift.
APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land
Den russisk‑tilknyttede trusselaktøren APT28 er knyttet til en ny målrettet phishing kampanje mot Ukraina og flere europeiske NATO‑land. Kampanjen benytter skadevaresuiten PRISMEX og har vært aktiv siden minst høsten 2025. Angrepene utnytter nylig annonserte sårbarheter som CVE‑2026‑21509 og CVE‑2026‑21513, trolig brukt som nulldagssårbarheter, og distribuerer skadevare via LNK filer.
PRISMEX kombinerer steganografi, COM‑kapring og misbruk av legitime skytjenester for kommando‑ og kontroll, og har både spionasje- og destruktiv kapasitet. Aktiviteten indikerer et strategisk fokus på forsyningskjeder og operasjonell støtte til Ukraina.
Atomic Stealer distribueres via Script Editor i nye macOS‑angrep
En ny kampanje retter seg mot macOS-brukere og distribuerer skadevaren Atomic Stealer (AMOS) ved å utnytte Script Editor som kjøreflate for ondartet kode. Angrepet bygger på kjente ClickFix‑teknikker, der brukere lokkes til falske Apple lignende nettsider med instruksjoner for å «frigjøre diskplass».
Nettstedene benytter applescript:// lenker som åpner Script Editor med forhåndsutfylt kode, noe som muliggjør kjøring av kommandoer uten direkte bruk av Terminal. Koden laster ned og kjører en Mach‑O binær som kan hente ut Keychain data, passord, nettleserdata, kryptolommebøker og systeminformasjon, og som kan etablere vedvarende tilgang via bakdør.
Kampanjen illustrerer hvordan legitime macOS komponenter kan misbrukes i sosial manipulering, og understreker behovet for tydelige retningslinjer, brukerbevissthet og bruk av offisielle Apple‑kilder ved feilsøking og systemvedlikehold.
