OpenSSH-brist låter angripare kringgå lösenordsinloggning
Angripare kan komma åt konton utan att känna till lösenorden på vissa Linuxservrar med OpenSSH. Den 9 november förde CISA upp bristen CVE-2026-123158 i sin katalog över känt exploaterade sårbarheter. Fyra dagar tidigare hade OpenSSH släppt version 10.6p2 med en säkerhetsåtgärd. Kataloginförandet bekräftar känd exploatering, men anger inte när angreppen började.
Problemet gäller system som använder musl utan aktiverat PAM-stöd, inte Linuxservrar generellt. Enligt Alpine Linux säkerhetsmeddelande måste flera villkor vara uppfyllda samtidigt: lösenordsautentisering ska vara påslagen, målkontot ska ha en asterisk i lösenordsfältet och minst ett annat lokalt konto ska ha en lösenordshash av angiven typ. Direkt rootinloggning kräver dessutom att inställningen PermitRootLogin tillåter det. Red Hat uppger att dess produkter inte påverkas, eftersom dess OpenSSH-byggen använder glibc och PAM som standard.
Alpine uppmanar användare att uppdatera OpenSSH och därefter starta om servertjänsten sshd. Enbart paketuppdateringen ersätter inte den process som redan körs. För den som ännu inte kan uppdatera anger Alpine avstängd lösenordsautentisering och omstart av sshd som en tillfällig åtgärd.
EU varnar efter angreppen mot butikernas kylsystem
Angreppen mot uppkopplade kyl- och fryssystem har fått EU:s cybersäkerhetsaktörer att gå ut med en gemensam varning. Den 4 november uppmanade bland andra ENISA, Europol EC3 och EU:s CSIRT-nätverk organisationer att omedelbart minska exponeringen i berörda system. Uttalandet följde på en ny våg av incidenter den 1–2 november. I sin uppföljning den 6 november uppmanade CERT-SE organisationer att kontrollera berörda styrsystem, följa nationella och leverantörsspecifika varningar samt installera säkerhetsuppdateringar skyndsamt.
I Sverige hade 30 matbutiker drabbats, rapporterade SVT den 3 november. Även Axfoods konsumentplocklager i Västra Frölunda påverkades. Enligt bolagets pressansvarige behövde varor för omkring tre miljoner kronor kasseras där. Hur angriparna tog sig in i de svenska systemen var då inte klarlagt. Säkerhetsvärlden har tidigare beskrivit angreppen mot kylsystem i Europa.
Coops presschef uppgav redan den 2 november att problemen i kedjans sju drabbade butiker var åtgärdade vid 14-tiden, enligt TT:s rapportering. Det beskedet gällde Coop, inte övriga drabbade verksamheter. Den senaste myndighetsuppföljningen är från den 6 november. Vid periodens slut den 10 november var det fortfarande inte bekräftat om samtliga svenska verksamheter hade återställts.
SIP-meddelanden kan ge kontroll över FreeSWITCH-servrar
Inkommande SIP-meddelanden kan öppna vägen till kommandokörning i telefoniplattformen FreeSWITCH. Ett SIP MESSAGE som accepteras av en berörd profil kan nå plattformens kommandogränssnitt. Enligt SignalWires säkerhetsmeddelande kan det leda till röjda konfigurations- och autentiseringsuppgifter, full kontroll över samtal och körning av kommandon. Leverantören har observerat exploatering.
Den 9 november lade CISA till bristen, CVE-2026-116779, i katalogen över känt exploaterade sårbarheter. Säkerhetsmeddelandet hade publicerats den 28 oktober. Versioner till och med 1.11.2 anges som berörda, medan 1.11.3 och senare är rättade. Berörda installationer har SIP-profiler som tar emot MESSAGE, vilket enligt leverantören är standardkonfigurationen.
Angreppet förutsätter att profilen accepterar meddelandet. Där meddelandeautentisering krävs kan ett vanligt konto räcka. SignalWire anger också att en åtstramad inkommande åtkomstlista, ACL, inte i sig undanröjer risken i den berörda MESSAGE-funktionen.
GPUStack-brist har utnyttjats för att köra angriparnas kommandoskal
GPUStacks automatiska förtroende för trafik från den egna värden kan ge administratörsåtkomst utan inloggning. Leverantören beskriver både en reverse proxy på samma värd och ett förfalskat X-GPUStack-Real-IP-huvud som vägar till problemet. Plattformen används för att driva AI-modeller, och åtkomsten kan låta angripare ändra användare och modeller, skapa bestående API-nycklar med administratörsbehörighet samt komma åt workeruppgifter och molnhemligheter.
GPUStack uppger att angrepp har observerats mot en installation av version 2.1.1. Angriparna skapade backends som körde omvända kommandoskal. Bristen kan också ge kodkörning på worker-värdar. Versioner före 2.2.0 anges som berörda; i 2.2.0 tas den automatiska administratörsåtkomsten för loopbacktrafik bort.
Säkerhetsmeddelandet publicerades den 31 juli. Den 9 november förde CISA upp bristen, CVE-2026-102895, i katalogen över känt exploaterade sårbarheter.
Äldre WebKit-brist förs upp på listan över exploaterade sårbarheter
En äldre sårbarhet i Apples WebKit fick förnyad aktualitet den 4 november när CISA lade till CVE-2024-27834 i katalogen över känt exploaterade sårbarheter. Katalogposten omfattar flera produktfamiljer, däribland iOS, iPadOS, macOS och Safari. Införandet bekräftar känd exploatering, men fastställer inte angreppens starttid eller omfattning.
Bristen gör det möjligt att kringgå pekarautentisering, Pointer Authentication, för en angripare som redan har godtycklig läs- och skrivförmåga. Den innebär alltså inte i sig att en angripare utan sådan åtkomst kan ta över en enhet. Apple dokumenterar rättningen i Safari 17.5, som släpptes den 13 maj 2024. Det nya beskedet gäller därmed exploateringen av en tidigare rättad brist, inte en ny säkerhetsuppdatering.
