Varsel om cybertrusler og sårbarheder uge 37

 Påvirkede produkter

• Google Chromium V8
• BerriAI LiteLLM
• Kludex Starlette
• Kestra OSS
• JFrog Artifactory
• Sangoma Switchvox
• SonicWall SMA1000
• PaperCut NG/MF
• MicroTik RouterOS

Alvorlighed: Medium til kritisk

Det er vigtigt, at du handler, hvis du benytter et eller flere af produkterne ovenfor. Hvis den relevante sårbarhed bliver udnyttet, vil det kunne få store konsekvenser.

Handling

Opdatér programmerne, hvis de ikke opdateres automatisk. Hvis du ikke ved hvordan produkterne opdateres, så kontakt din it-leverandør.

Hvis produkterne ikke længere modtager sikkerhedsopdateringer, anbefales det at stoppe med at anvende produkterne.

Undersøg om I er blevet kompromitteret.

Særlige beskeder:

Microsoft Patch Tuesday

Tirsdag 08/09-2026 udsender Microsoft en række opdatering til deres produkter, eksempelvis Office-pakken og operativsystemer. Det anbefales at opdatere systemer hurtigst muligt efter udgivelse af sikkerhedsopdateringerne.

MicroTik RouterOS

Forsvarets Efterretningstjeneste har udgivet et varsel om to sårbarheder i MicroTik, der aktivt udnyttes. Sårbarhederne er følgende:

CVE-2026-67276 (CVSS 9.2) gør det muligt for en angriber at undgå at autentificere sig over SSH. Det gør det muligt for en angriber at logge ind som en given bruger.

CVE-2026-86060 (CVSS 9.2) gør det muligt for en angriber at manipulere et brugernavn til at elevere aktørens privilegier til administrator på RouterOS systemet.

Disse to sårbarheder kan sammenkædes, og derved opnå permanent kontrol over enheden.

MicroTik informerer, at RouterOS selv vil udføre et check. Hvis der forefindes mistænkelig adfærd, vil RouterOS sætte et flag.
Endvidere anbefales det at SSH ikke er åbent for netværk, som der ikke er tillid til.
Det anbefales desuden at lave et manuelt check på enhedens konfiguration efter ukendte scripts, brugere eller andre konfigurationsparametre, som ikke kan genkendes.

Du kan læse mere i MicroTiks advisory i kilderne nedenfor.

Kilde: Forsvarets Efterretningstjeneste

• cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• cert.pl/en/posts/2026/09/mikrotik-routeros-cve/
• mikrotik.com/supportsec/september-2026-vulnerability/
• cve.org/CVERecord?id=CVE-2026-67276
• cve.org/CVERecord?id=CVE-2026-86060

Detaljeret overblik

Google Chromium V8

ID: CVE-2026-85046, EUVD-2026-70702

Ved at udfærdige en særlig HTML-side kan en angriber udnytte en fejl i V8, som gør at programmet bliver forvirret over datatypes. Det kan lade angriberen eksekvere kode i sandboxen. Bemærk at sårbarheden er i V8-engine, og derfor ikke er eksklusiv til Google Chrome-browseren, men alle browsere, der er baseret på Chromium. Dette er for eksempel Microsoft Edge, Opera og Brave Browser.

Alvorlighed: Høj (CVSS 8.8)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-85046
• euvd.enisa.europa.eu/vulnerability/CVE-2026-85046
• chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html

BerriAI LiteLLM

ID: CVE-2026-59822, EUVD-2026-42359

LiteLLM accepterer Bearer Tokens i MVP Streamable http-endpointet, uden at verificere token først. Dette lader en ekstern uautentificeret angriber opnå adgang.

Alvorlighed: Høj (CVSS 8.2)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-59822
• euvd.enisa.europa.eu/vulnerability/CVE-2026-59822
• github.com/BerriAI/litellm/security/advisories/GHSA-7488-6r32-c95q

Handling udover at opdatere: Hvis ikke LiteLLM kan opdateres for nuværende, anbefales det at deaktivere MCP routes eller at blokere adgang til /mcp/ og relaterede MCP endpoints ved din reverse proxy eller API gateway.

Kludex Starlette

ID: CVE-2026-48710, EUVD-2026-32016

En angriber kan udforme en særlig HTTP-forespørgsel i Starlette, som gør at systemet fortolker host-delen og stien forkert. Dette sætter den indsatte sti foran den faktiske sti. Herigennem kan angriberen omgå autentificering, hvis login-tjek er afhængige af den genopbyggede URL's sti.

Bemærk at sårbarheden kan kombineres med CVE-2026-42271, udgivet i maj 2026.

Alvorlighed: Medium (CVSS 6.5)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-48710
• euvd.enisa.europa.eu/vulnerability/CVE-2026-48710
• github.com/Kludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mr
• nvd.nist.gov/vuln/detail/cve-2026-42271

Kestra OSS

ID: CVE-2026-49869, EUVD-2026-39922

En angriber kan udnytte en fejl, som gør at systemet bygger og kører en operativsystem-kommando uden tilstrækkelig kontrol. Det kan lade angriberen oprette og eksekvere vilkårlige workflows uden credentials.

Alvorlighed:   Kritisk (CVSS 10.0)

Kilde: https://nvd.nist.gov/vuln/detail/cve-2026-49869
https://euvd.enisa.europa.eu/vulnerability/CVE-2026-49869
https://github.com/kestra-io/kestra/security/advisories/GHSA-5vc5-wxxq-3fjx

JFrog Artifactory

ID: CVE-2026-82329, EUVD-2026-67861

Hvis JFrog Artifactory er opsat med standardkonfigurationen, kan en angriber udnytte en fejl, som gør at systemet ikke autentificerer korrekt. Dette kan føre til at angriberen får administratorrettigheder uden credentials.

Alvorlighed: Kritisk (CVSS 9.8)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-82329
• euvd.enisa.europa.eu/vulnerability/cve-2026-82329
• docs.jfrog.com/releases/docs/jfrog-security-advisories

Handling udover at opdatere: Hvis Artifactory for nuværende ikke kan opdateres, anbefaler SAMSIK til at følge trinene i JFrogs Advisory under ”Workarounds and Mitigations”.

Sangoma Switchvox

ID: CVE-2026-9586, EUVD-2026-45205

En SQL injektion-fejl i Switchvox gør, at inputtet ikke bliver renset korrekt inden det sendes som en databaseforespørgsel. Dette lader en angribe udføre vilkårlige SQL-kommandoer til den bagvedliggende PostgreSQL-database, eksempelvis databasekommandoer og fjerneksekvering af vilkårlig kode.

Alvorlighed: Kritisk (CVSS 9.8)

Kilde:

• nvd.nist.gov/vuln/detail/CVE-2026-9586
• euvd.enisa.europa.eu/vulnerability/CVE-2026-9586
  
• sangomakb.atlassian.net/wiki/spaces/Switchvox/pages/1802371073/Switchvox+-+Release+Notes+Version+8.4.0.2+July+14+2026

SonicWall SMA1000

ID: CVE-2026-83548, EUVD-2026-69704

En uautentificeret angriber kan udnytte server-side request forgery til at opnå uautoriseret adgang til følsom funktionalitet og udføre uautoriserede handlinger.

Alvorlighed: Kritisk (CVSS 10.0)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-83548
• euvd.enisa.europa.eu/vulnerability/CVE-2026-83548
• psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0016

SonicWall SMA1000

ID: CVE-2026-83549, EUVD-2026-69707

En autentificeret administratorkonto kan udnytte manglende rensning af inputs, og derigennem udføre OS command injection. Dette lader angriberen udføre kommandoer på operativsystemet, og derved fjerneksekvere kode.

Alvorlighed: Høj (CVSS 7.8)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-83549
• euvd.enisa.europa.eu/vulnerability/CVE-2026-83549
• psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0016

PaperCut NG/MF

ID: CVE-2026-81578, EUVD-2026-67713

En sårbarhed vedrørende ukorrekt adgangskontrol i webinterfacet på PaperCut MF og NG gør det muligt for en uautentificeret angriber at omgå autentificering og ændre systemkonfigurationer.

Sårbarheden kan ses i sammenhæng med CVE-2026-82078, som er beskrevet nedenfor.

Alvorlighed: Kritisk (CVSS 9.8)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-81578
• euvd.enisa.europa.eu/vulnerability/CVE-2026-81578
• papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/

Handling udover at opdatere: Du kan undersøge om du er blevet kompromitteret ved at følge trinene i Papercuts Security Advisory under ”Indicators of compromise and investigation guidance” i linket ovenfor.

PaperCut NG/MF

ID: CVE-2026-82078, EUVD-2026-67714

En angriber kan udnytte en unsafe reflection-fejl i Papercut NF/MG, som gør at systemet indlæser og udfører vilkårlig kode i Javas refleksionsmekanisme. Derved kan angriberen ændre systemkonfigurationer og eksekvere vilkårlig Java Bytecode udenfor PaperCut-serverprocessens security context.

Sårbarheden kan kædes med CVE-2026-81578, som er beskrevet ovenfor.

Alvorlighed: Kritisk (CVSS 9.1)

Kilde:

• nvd.nist.gov/vuln/detail/cve-2026-82078
• euvd.enisa.europa.eu/vulnerability/CVE-2026-82078
• papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/

Handling udover at opdatere: Du kan undersøge om du er blevet kompromitteret ved at følge trinene i Papercuts Security Advisory under ”Indicators of compromise and investigation guidance” i linket ovenfor.

Øvrige ressourcer 

• Styrelsen for Samfundssikkerheds ordforklaringer: samsik.dk/cybersikkerhed/ordforklaringer/
• Styrelsen for Samfundssikkerheds trusselsvurderinger: samsik.dk/cybersikkerhed/trusselsvurderinger/

 Vi justerer løbende på formatet og hører meget gerne fra dig, hvis du har feedback.

Baggrund

Dette et er varsel om udnyttede sårbarheder i software. Varslet kan anvendes til at prioritere patchning af virksomhedens systemer.

Første del er oversigten over systemer, som virksomheden bør prioritere højt at opdatere. Afsnittet ”Detaljeret overblik” er en mere dybdegående oversigt over sårbarhederne og deres konsekvenser.

Varslet er baseret på den amerikanske cyber- og infrastruktursmyndighed CISA^1. Specifikt er deres KEV²-kartotek blevet anvendt. Særlige beskeder kan nævne forhold, der går ud over KEV-kataloget.

Sårbarhederne er noteret med deres CVE³-nummer og deres CVSS⁴-score. CVE-nummeret er henvisning til CVE-kataloget, hvor sårbarheden er registreret. CVSS-scoren er en numerisk værdi, der vurderer kritikaliteten af sårbarheden.

Nedenfor er en tabel, der angiver alvorligheden af forskellige CVSS-intervaller.

_Fodnoter:

_{1 Cybersecurity and Infrastructure Security Agency}

_{2 Known Exploits and Vulnerabilities}

_{3 Common Vulnerabilities and Exploits}

_{4 Common Vulnerability Severity Score}