Microsoft har fått bråttom att släppa en akut patch till Office. Antagonister på internet utnyttjar just nu en möjlighet att ta sig förbi säkerhets-inställningar kopplade till OLE/COM. Jag gissar på att det är möjligt att på något sätt ladda in externa objekt utan att få en varning. CVSS-poängen är 7.8/10, vilket innebär hög allvarlighetsgrad. Så här skriver Microsoft själva:
This update addresses a vulnerability that bypasses OLE mitigations in Microsoft 365 and Microsoft Office which protect users from vulnerable COM/OLE controls
Sårbarheten har lagts till i CISA:s ”Known Exploited Vulnerabilities”-lista, vilket betyder att amerikanska myndigheter måste tillämpa patcherna senast den 16 februari 2026. Och den har identifierats av Microsoft Threat Intelligence Center (MSTIC), Microsoft Security Response Center (MSRC) och Office Product Group Security Team.
Det finns en temporär fix som innebär att man måste ändra några registernycklar. Annars så rekommenderas en uppgradering av Microsoft Office till:
Microsoft Office 2019 (32-bit edition) – 16.0.10417.20095
Microsoft Office 2019 (64-bit edition) – 16.0.10417.20095
Microsoft Office 2016 (32-bit edition) – 16.0.5539.1001
Microsoft Office 2016 (64-bit edition) – 16.0.5539.1001
Mer information om CVE-2026-21509 hittas hos Microsoft här.
En intressant sårbarhet har uppdagats i InetUtils telnet daemon (telnetd). Sårbarheten, som har beteckningen CVE-2026-24061, har ett allvarlighetsgrad på hela 9.8 av 10,0 enligt CVSS-poängsystemet. Den påverkar alla versioner av GNU InetUtils från version 1.9.3 upp till och med version 2.7. Buggen introducerades för ungefär 11 år sedan.
Telnetd i GNU Inetutils upp till version 2.7 tillåter remote authentication bypass via ett värde -f root för miljövariabeln USER
Står det i beskrivningen av felet i NIST:s National Vulnerability Database (NVD). Viktigt också och poängtera är att denna sårbarhet redan nu utnyttjas aktivt på internet. Sårbarheten identifierades av Kyu Neushwaistein aka Carlos Cortes Alvarez den 19:e april 2026.
Simon Josefsson skriver också i ett mail till mail-listan OSS-sec att det troligtvis kan finnas sårbarheter i fler miljövariablar som skickas till telnetd.
Vill du testa sårbarheten själv under kontrollerande former så finns följande:
En säkerhetsbugg i en mjukvara kan idag vara värd mer än en lyxvilla. Priserna på så kallade exploits, verktyg för att utnyttja okända sårbarheter i datorer och mobiler, har skjutit i höjden på senare tid. Nyligen utlovade ett säkerhetsföretag upp till 20 miljoner dollar för en enskild mobiltelefonsårbarhet som kan utnyttjas via ett SMS. Dessa digitala sårbarheter betraktas som en del av cybervapen och därmed eftertraktade av främmande makt, polis och ibland även cyberkriminella. I detta blogginlägg så analyserar jag en ny prislista som släppts från Dubai-baserade företaget Advance Security Solutions (advance-sec.com).
Advance Security Solutions listar ett brett spektrum av plattformar och applikationer där de söker sårbarheter. Belöningarna varierar från tiotusentals dollar till mångmiljonbelopp.
Mobiltelefoner (iOS och Android): De mest värdefulla exploiten rör mobiltelefoner. En zero-click-sårbarhet i iOS eller Android betingar omkring 15 miljoner dollar för en komplett exploitkedja. Om sårbarheten fungerar via SMS eller MMS kan belöningen nå 20 miljoner. Även kedjor via mobilwebbläsare som Safari eller Chrome ligger högt, runt 5 miljoner.
Stationära operativsystem: En komplett fjärrexploatering av Windows kan inbringa cirka 10 miljoner dollar. Linux ligger på samma nivå medan macOS värderas något lägre till cirka 7 miljoner. Mindre steg, exempelvis lokal privilegieeskalering, betalas ofta runt 100 000 dollar eller mindre.
Webbläsare: En full chain i Chrome, Edge eller Tor Browser värderas till omkring 1 miljon dollar. Safari ligger på samma nivå medan Firefox ligger lägre, runt 500 000 dollar.
Krypterade meddelandeappar: WhatsApp, Signal och Telegram värderas högt, ofta runt 2 miljoner dollar för fjärrkodsexekvering. Andra aktörer har betalat upp till 8 miljoner för förstklassiga exploits. Chatt-appen Threema värderas till cirka 1 miljon.
Företagssystem och nätverksutrustning: Exploits mot Exchange, Oracle eller liknande betalas ofta i nivån 250 000 dollar eller mer. VPN och brandväggsprodukter från Cisco, Fortinet och SonicWall kan nå samma nivå. Mindre enheter som routers eller NAS ligger runt 20 000–50 000.
Övriga programvaror: Zero-click sårbarheter i Microsoft Office kan ge 1 miljon dollar, medan enklare kodexekveringsbuggar i Office ligger runt 250 000. Adobe Acrobat Reader kan ge 500 000 och antivirus eller EDR-produkter upp till 200 000.
Vem köper och säljer?
Säljare är ofta säkerhetsforskare som upptäckt en ny sårbarhet. I stället för att rapportera den via bug bounty-program kan de sälja till en broker som företaget Advance Security Solutions. Dessa agerar mellanhand och säljer vidare exklusivt till statliga aktörer (uppger de själva). Köparna är underrättelsetjänster, polis och militära cyberenheter som använder exploits för spionage, brottsbekämpning eller cyberoperationer.
Det finns tre huvudsakliga marknader:
Vit marknad: Officiella bug bounty-program. Beloppen är låga i jämförelse, ofta 5 000–20 000 dollar. Apple erbjuder i vissa fall upp till 2 miljoner.
Grå marknad: Exploits säljs under sekretess men lagligt till stater via mellanhänder. Här är priserna tiotals till hundratals gånger högre än i bug bounty-programmen.
Svart marknad: Olaglig handel med exploits, ofta på darknet. Här är köpare och säljare anonyma och priserna kan vara ännu högre än i grå marknaden. Används för ransomware-attacker exempelvis.
Varför är priserna så höga?
Priserna drivs upp av flera faktorer:
Exklusivitet: En exploit som säljs till en enda köpare kan användas längre och ger högre avkastning.
Teknisk svårighetsgrad: Desto svårare en kedja är att ta fram, desto högre blir priset. Bara ett fåtal forskare kan skapa avancerade kedjor för moderna mobiler.
Målens spridning: Exploits mot system med stor användarbas, som iOS, Android eller WhatsApp, är mer värdefulla än de mot nischade system.
Efterfrågan: Fler länder och aktörer deltar i kapprustningen, vilket skapar en budgivning som pressar upp priserna.
Ett intressant skifte är att iPhone-exploits har blivit mindre värda än Android-exploits. Detta beror troligtvis på att Apple patchar snabbare och har fler bug bounty-rapporter, medan Android har blivit tekniskt svårare att hacka. Detta visar tydligt att ju högre den tekniska ribban höjs desto mer pengar betalas för att hitta nya sätt att kringgå skydden.
Slutsats
Exploit-marknaden för zero-day-sårbarheter har utvecklats till en global handelsplats där politiska, ekonomiska och tekniska faktorer samspelar. Att betala tiotals miljoner för en enda sårbarhet är inte ovanligt. Samtidigt väcks frågor om hållbarheten i ett system där luckor köps och säljs istället för att lagas.
Utvecklingen visar på en kapprustning mellan förbättrad säkerhet och avancerad exploitation. Så länge betalningsviljan är skyhög kommer handeln att fortsätta. Zero-days har blivit hårdvaluta, och priset avgörs av hur svårt det är att hitta dem och hur hemliga de kan hållas.
Polisen här i Sverige har sedan ett tag tillbaka även möjlighet att använda exploits som ovan. Vi vet dock ej i vilken omfattning, hur ofta eller om de också är köpare på denna marknad.
Under lång tid har sårbarheter i rena SaaS-tjänster varit svåra att följa upp: de saknade ofta CVE nummer och blandades ihop med klassisk produkt-/on-prem-logik. Nu finns en officiell lösning: CVE-taggen ”exclusively-hosted-service”.
Vad betyder den?
Taggen används när alla drabbade produkter endast finns som fullt hostade tjänster. Om både hostad och on-prem påverkas ska taggen inte användas. Det gör att vi kan särskilja ren SaaS från allt annat i CVE flödet och snabbare förstå vilken typ av åtgärd som faktiskt krävs.
Varför är det här viktigt?
– Tydligare ansvar och snabbare beslut: Molnleverantörer som Microsoft och Google markerar nu SaaS-CVE:er med denna tagg – ofta för att signalera att ingen kundåtgärd krävs eftersom fixen rullats ut i tjänsten. Det minskar brus och gör rapporteringen mer transparent.
– Bättre spårbarhet: Att SaaS sårbarheter får CVE nummer och konsekvent taggas stänger en gammal lucka i sårbarhetshantering där molnbrister tidigare föll mellan stolarna.
– Mognare prioritering: När källposten (CVE) anger att det rör sig om en “exclusively hosted service” kan vi prioritera rätt: bevaka påverkan, säkerställa kompensatoriska kontroller – men slippa lägga tid på patchplaner där leverantören redan åtgärdat. (Notera att alla verktyg ännu inte exponerar taggen lika tydligt.)
Exempel i praktiken
Microsofts första publiceringar av “cloud service CVEs” använder taggen för att klargöra att ingen kundpatch behövs (t.ex. CVE-2024-35260). Google Cloud har infört samma arbetssätt för kritiska brister i sina tjänster.
Min rekommendation
– Lägg till ett steg i er triagerutin som kontrollerar om CVE-posten har taggen ”exclusively-hosted-service”.
– Om taggen finns: bekräfta drifts-påverkan, verifiera att leverantören rullat ut fixen och dokumentera beslutet – men undvik onödig “patch-teater”.
– Om taggen saknas eller on-prem också påverkas: hantera enligt ordinarie process.
Detta är ett litet men viktigt steg mot bättre transparens och effektivare sårbarhetshantering i en verklighet där SaaS är normen.
Under juli månad började en allvarlig sårbarhet i filöverföringsservern CrushFTP att aktivt utnyttjas på internet. CrushFTP är en kommersiell, Java-baserad produkt som används av företag och myndigheter för säker filhantering och stöder bland annat FTP, SFTP, FTPS och HTTPS.
Enligt sökverktyget FOFA finns minst 30 000 instanser av CrushFTP exponerade mot internet. Bedömningen är att sårbarheten utnyttjats under större delen av juli. Den 22 juli såldes en exploit på kriminella forum, samma dag som bristen hamnade på CISA:s Known Exploited Vulnerabilities (KEV)-lista.
Sårbarheten har fått beteckningen CVE-2025-54309 och återfinns i funktionaliteten Applicability Statement 2 (AS2). Säkerhetsföretagen WatchTowr och Reliaquest har analyserat problemet närmare.
Skärmdump från hackerforum där sårbarheten var till salu:
Påverkade versioner
CrushFTP 10: alla versioner under 10.8.5
CrushFTP 11: alla versioner under 11.3.4_23
Rekommenderade åtgärder
Organisationer som använder CrushFTP bör omgående:
Uppdatera till en säker version
Säkerställa att instanser inte är onödigt exponerade mot internet
Det populära lösenordsknäckarverktyget hashcat version 7.0.0 släpptes nyligen efter mer än två års utveckling och över 900 000 rader med kodändringar. Versionen introducerade även Assimilation Bridge, som möjliggör att hashcat kan använda externa beräkningsresurser såsom CPU, FPGA och tolkningsmiljöer direkt i hash‑pipeline. Även Python Bridge, som tillåter implementation av hashmatchningslogik i Python utan behov av omkompilering. Och detta utan att kompilera med stöd för multitrådning. En ny regelmotor Virtual Backend Devices möjliggör att en fysisk GPU kan delas upp i flera logiska enheter för bättre parallell exekvering. Detta släpp införde även automatisk hashmod-detektion så att flaggan -m kan utelämnas eller alternativt –identify kan användas. Mycket efterlängtad funktion som funnits i exmepelvis John the Ripper sedan urminnes tider.
Algoritmsupporten utökades med 58 nya specifika hash-typer (bland annat Argon2, MetaMask, LUKS2, OpenSSH, GPG) men även 20 st extraheringsverktyg för format som APFS, VirtualBox, BitLocker och wallet-format. Prestandan förbättrades genom en ny autotuner och bättre minneshantering, varigenom tidigare 4 GB-gräns togs bort och effektivare utnyttjande över flera enheter blev möjligt. Specifika hash-modar visade stora förbättringar: scrypt upp till +320 %, NetNTLMv2 på Intel +223 %, och RAR3 +54 %.
Backend-stöd förbättrades också: AMD HIP prioriteras numera över OpenCL, och macOS-användare får native Metal-stöd med full Apple Silicon-kompatibilitet och stora hastighetsförbättringar. För utvecklare tillkom förbättrad diagnostik, bättre testtäckning, regelmotorförbättringar och JSON-utdata.
Två veckor senare släpptes version 7.1.0 en mindre men viktig uppdatering med bl.a. nya algoritmer (se nedan).
Lista med algoritmer som finns med i version 7.1.0:
AS/400 DES
AS/400 SSHA1
Blockchain, My Wallet, Legacy Wallets
Cisco-ISE Hashed Password (SHA256)
LUKS2 (Argon2i KDF type)
KeePass (KDBX v4)
SAP CODVN H (PWDSALTEDHASH) isSHA512
sm3crypt $sm3$, SM3 (Unix)
BLAKE2b-256
BLAKE2b-256($pass.$salt)
BLAKE2b-256($salt.$pass)
MD6 (256)
sha224($pass.$salt)
sha224($salt.$pass)
sha224(sha1($pass))
sha224(sha224($pass))
Exempel på när hashcat körs i en docker-container:
Det har identifierats en path-traversal-sårbarhet i WinRAR som ha fått CVE‑2025‑8088. Gäller Windows-versioner av WinRAR före 7.13. Genom att utnyttja funktionen för alternativa dataströmmar (ADS) kan angripare inkludera skadlig kod i .rar-arkiv som vid extraktion placeras i oavsedd katalog, såsom Start-mappen i Windows, vilket resulterar i automatisk uppstart av malware efter inloggning. NIST anger att denna sårbarhet möjliggör godtycklig kodexekvering och påverkar WinRAR-verktyg inklusive komponenten UnRAR.dll och cli-versioner.
Antivirus-företaget ESET upptäckte tidigt utnyttjandet av zero-day sårbarheten i juli 2025. Mellan 18 och 21 juli skickades målinriktade spear phishing-mejl till företag inom finans-sektor, tillverkning, försvar och logistik främst i Europa och Kanada. Rar-arkivfilerna var presenterade som jobbcv:n men innehöll dolda skadliga ADS-filer som i sin tur distribuerade DLL- och LNK-filer, samt installerade bakdörrar i samband med autostart. De skadliga komponenterna inkluderade SnipBot‑variant, RustyClaw och Mythic Agent, ofta kopplade till den rysk‑allierade hackergruppen RomCom (även kallad Storm‑0978, UNC2596 med flera). Hackergruppen anses ha stark teknisk kapacitet och ett geopolitisk driv som innefattar spioneri och cyberbrottslighet.
Utöver RomCom har även en annan aktör kallad Paper Werewolf, enligt BI.ZONE, använt samma sårbarhet mot mål inom Ryssland. Båda grupperna kan ha fått tillgång till exploiten via ett nätforum där den låg ute till salu för cirka 762000 SEK i slutet av juni:
Sårbarheten har fått hög allvarlighetsgrad, med CVSS-värde hela på 8,4. WinRAR släppte en säkerhetskorrigering i version 7.13 den 30 juli 2025 efter omedelbar kontakt från ESET, men eftersom programmet saknar automatisk uppdatering måste användare manuellt installera den nya versionen.
Kanske dags för WinRAR att börja med någon annan form av licensmodell som inkluderar automatiska uppgraderingar 😆
Här har ESET samlat ett antal IoC:er gällande RomCom:
Google skickade nyligen ut ett mail gällande att dom blivit hackade av gruppen ShinyHunters eller rättare skrivet UNC6240 som påstår sig vara ShinyHunters. Gruppen utnyttjar en typ av Vishing-metod för att erhålla en 8-siffrig token till Salesforce. För det var nämligen en extern instans av mjukvaran Salesforce som hackades, men som innehöll kunduppgifter från bl.a. tjänsten Google Ads. Så här ser mailet som skickades ut, till mig:
Google Threat Intelligence Group (GTIG) noterar också att gruppens taktik har utvecklats löpande. De har gått från att använda Salesforce Dataloader till egna utvecklade script (typiskt i Python), vilket gör det svårare att spåra dem eftersom de använder Mullvad VPN och Tor både vid intrång och exfiltrering av kunduppgifter. Även användningen av komprometterade konton för registrering av attackerade applikationer har ökat.
Google genomförde i juni en forensisk insats mot en av sina Salesforce-instanser som påverkats. GTIG analys visade att endast begränsade, i huvudsak offentliga företagsuppgifter exfiltrerades under en kort tidsperiod innan åtkomsten stängdes av.
Som motåtgärder rekommenderar GTIG bland annat att principen om minsta privilegium tillämpas strikt, att hantering av anslutna appar (connected apps) begränsas och granskas noggrant, att åtkomst regleras via IP-policyer, samt att aktivera stöd från Salesforce Shield (transaction security, event monitoring) utnyttjas för att bevaka och blockera ovanlig aktivitet. Vidare understryks vikten av bred användning av multifaktorautentisering.
Check Point Research (CPR) har avslöjat en ny sofistikerad cyberkampanj genomförd av den statsstödda hotaktören Stealth Falcon. Genom att skicka bifogade .url-filer utnyttjar angriparna en tidigare okänd sårbarhet i Windows (CVE-2025-33053) som tillåter Remote Code Execution (RCE). Exploiten gör det möjligt att exekvera kod direkt från en WebDAV-server, kontrollerad av en angripare.
Microsoft har åtgärdat sårbarheten i sina månatliga säkerhetsuppdatering som släpptes igår tisdag för juni månad.
Stealth Falcon riktar sina attacker mot högt uppsatta mål i Mellanöstern och Afrika, inklusive regerings- och försvarsorganisationer i länder som Turkiet, Qatar, Egypten och Jemen. Infektionsvektorn är oftast riktad nätfiske med bifogade länkar eller arkiv som innehåller dessa WebDAV-baserade payloads.
Angriparna använder skräddarsydda implantat baserade på det öppna C2-ramverket Mythic. Den nyupptäckta ”Horus Agent” är en vidareutveckling av deras tidigare modifierade Apollo-agent och är byggd i C++. Den inkluderar omfattande anti-analys-tekniker, kontrollflödesförvrängning, API-hashning samt C&C-kommunikation krypterad med AES och RC4.
En infektionskedja som identifierades hos ett turkiskt försvarsföretag använde en .url-fil som utnyttjade CVE-2025-33053. Genom att ändra arbetskatalogen till en WebDAV-adress kunde en legitim Windows-komponent luras att köra en skadlig fil (route.exe) från angriparens server. Detta är en ny variant av en redan känd DLL hijacking-teknik, men i detta fall med fullständiga exekverbara filer.
Horus Loader, skriven i C++, använder metoder såsom ”IPfuscation”, där payloaden är maskerad som en lista med IPv6-adresser. Den dekrypteras i minnet och injiceras i en legitim Edge browser-process. Angriparna använde även Code Virtualizer (liknande Themida protector) för att skydda koden mot reverse-engineering och analys och kunde därmed kringgå flera säkerhetsprodukter.
IPfuscation:
Agenten stöder ett antal olika kommandon: systemkartläggning, konfigurationsuppdatering, filuppladdning, kodinjektion och processhantering. Målet är att identifiera värdefulla offer innan ytterligare payloads exekveras.
Vidare har Stealth Falcon utvecklat flera skräddarsydda post infection-moduler:
Credential dumper: extraherar filer från en virtuell disk (VHD) för att komma åt NTDS.dit, SAM och SYSTEM
Passiv bakdörr: en tjänst som lyssnar på nätverkstrafik och exekverar mottagen payload
Keylogger: loggar tangenttryckningar till en krypterad fil i Windows Temp-katalog.
Angriparna köper gamla domännamn med gott rykte via NameCheap för att undvika upptäckt. De använder även LOLBins (Living Off The Land Binaries) och WebDAV för att dölja sina spår.
Gruppen Stealth Falcon visar på hög teknisk kompetens och långsiktig strategisk planering. Genom att kombinera zerodays, avancerade payloads, välvalda mål och utstuderad infrastruktur förblir gruppen en av de mest sofistikerade APT-aktörerna med fokus på mellanöstern.
Alla organisationer, särskilt inom offentlig sektor och försvar, bör snarast implementera Microsofts säkerhetsuppdatering för CVE-2025-33053 och utvärdera sin exponering mot WebDAV och LOLBins i sin miljö.
Att digital suveränitet har seglat upp som ett nyckelbegrepp är knappast förvånande. I ett geopolitiskt läge präglat av osäkerhet blir det avgörande att veta var data lagras, vem som tekniskt och juridiskt kan komma åt den och vilken lagstiftning som gäller. Vi är fortfarande beroende av hyperscalers som Microsoft Azure, Amazon Web Services och Google Cloud Platform, men vi kan inte lite på dessa leverantörer full ut.
Varför en plan B är nödvändig
Amerikanska FISA §702 och liknande extraterritoriella lagar ger amerikanska myndigheter möjlighet att kräva utlämning av data – även om den lagras i EU-regioner
Nya sanktioner eller exportkontroller kan snabbt begränsa åtkomsten till molnresurser.
Domstolsbeslut (t.ex. Schrems II) har redan gjort det juridiskt riskabelt att lagra personuppgifter utanför EU/EES utan tillräckliga skyddsåtgärder
Nationella säkerhetskrav i bl.a. Norge och Danmark uppmanar offentliga verksamheter att utreda hur de kan migrera bort från amerikanska molntjänster vid behov
Kostnads- och prestandaoptimering kräver förhandlingsutrymme – något man bara får om man faktiskt kan byta leverantör
Så bygger du verklig handlingsfrihet
Dataklassificera – identifiera vilka informationsmängder som måste stanna inom EU/EES.
Designa för portabilitet – använd container- och orkestreringslösningar som fungerar oberoende av underliggande moln.
Upprätta exit-planer – kräv tydliga processer, tidsramar och kostnader för data-export i alla avtal.
Implementera multi- eller hybrid-cloud – sprid risker genom redundans hos olika leverantörer eller regioner.
Automatisera deployment – Infrastructure-as-Code gör det möjligt att återskapa hela miljöer hos en ny leverantör med kort varsel.
Bevaka lagstiftning och standarder – följ EU-initiativ som NIS 2, CRA och utvecklingen kring FISA §702-förlängningar.
Testa att återställning av backuper fungerar – Och att dessa med fördel ligger inom Sverige/EU.
Utför en GAP-analys av nuvarande leverantörslåsning (En gapanalys, eller GAP-analys är ett verktyg för att identifiera skillnader mellan en organisations nuvarande tillstånd och dess önskade framtida tillstånd)
Prioritera åtgärder för system med hög riskprofil eller personuppgifter.
Testa er beredskap – Öva och testa att flytta en av era tjänster till en alternativ plattform
Förankra hos ledningen – digital suveränitet är lika mycket en affärsstrategisk som teknisk fråga. Förbered Er på att det kommer att kosta tid och resurser inom Er organisation!
Slutsats
Digital suveränitet handlar inte om att överge molnet, utan om att behålla kontrollen och förhandlingsstyrkan när omvärlden snabbt förändras. Genom att planera för data-portabilitet och ha en klar plan B minskar ni både juridisk och operativ risk den dag ni faktiskt behöver flytta.
