Fem sårbarheder, den ældste fra 2015, landede den 8. oktober 2026 på den amerikanske cybersikkerhedsmyndighed CISA’s liste over aktivt udnyttede fejl. Ingen af dem er nye. Alle fem er rettet af deres respektive leverandører for år tilbage. Alligevel finder angribere dem stadig åbne på servere verden over, og det siger mere om tilstanden af global patch-hygiejne end om noget enkelt produkt. For nordiske it-afdelinger, der kører Strapi, ONLYOFFICE, Apache Struts, ISC BIND eller ProFTPD på internetvendte systemer, var fristen klar: den amerikanske regel krævede udbedring senest 11. oktober 2026 for føderale myndigheder, men den praktiske besked rækker langt uden for USA’s grænser.
Sagen illustrerer et mønster, som sikkerhedsfolk har talt om i årevis, men som sjældent bliver konkret: gamle, kendte fejl bliver stadig brugt som indgangsdør, fordi opdateringer aldrig når helt ud i infrastrukturen. Denne artikel går igennem, hvad CISA’s KEV-katalog (Known Exploited Vulnerabilities) faktisk er, hvad de fem sårbarheder gør, hvorfor tiår-gamle fejl stadig driver angreb i 2026, og hvad det betyder for virksomheder i Danmark og resten af Norden, der i samme periode har set en række andre, ikke-relaterede sikkerhedshændelser ramme kritisk infrastruktur.
Hvad er CISA’s KEV-katalog, og hvorfor betyder det noget
CISA (Cybersecurity and Infrastructure Security Agency) driver siden 2021 et katalog kaldet Known Exploited Vulnerabilities, eller KEV. Listen er enkel i sin logik: en sårbarhed kommer kun med, hvis der findes beviser for, at den rent faktisk bliver udnyttet af angribere i naturen, ikke bare at den teoretisk kunne udnyttes. Det gør KEV til et andet slags prioriteringsværktøj end den klassiske CVSS-score, som måler teoretisk alvorlighed uanset om nogen reelt forsøger at bryde ind.
For amerikanske føderale myndigheder er optagelse på KEV ikke frivillig læsning. Direktiv BOD 22-01 forpligter dem til at rette sårbarheden inden en fastsat frist, typisk to til tre uger. For virksomheder uden for USA’s offentlige sektor er kataloget ikke juridisk bindende, men det er i praksis blevet den mest brugte genvej til at svare på spørgsmålet “hvad skal vi patche først”, fordi det fjerner gætteriet om, hvilke fejl der faktisk bliver misbrugt lige nu.
Kataloget har vokset hurtigt gennem 2026. Ugen før de fem fejl i Strapi, ONLYOFFICE, Struts, BIND og ProFTPD blev tilføjet, havde CISA allerede lagt seks andre sårbarheder ind, heriblandt to Citrix NetScaler-fejl, der blev udnyttet som zero-days inden Citrix overhovedet havde en patch klar, ifølge Loginsofts ugentlige trusselsrapport. Den hollandske sikkerhedsmyndighed NCSC-NL advarede privat organisationer om at lukke de sårbare Citrix-enheder ned, før sagen blev offentlig. Det tempo, to batches på elleve sårbarheder over to uger, viser et katalog, der ikke længere kun fanger sjældne undtagelser, men er blevet en løbende strøm af prioriteringer, som sikkerhedsteams må følge ugentligt.
De fem sårbarheder: fra 2015 til 2023, alle stadig aktive
Det mest påfaldende ved batchen fra 8. oktober er spændet i alder. Den yngste fejl er fra 2023, den ældste fra 2015. Ifølge gennemgangen fra udviklerplatformen DEV Community, der kopierede listen direkte fra CISA’s katalog og linkede hver post til dens NVD-registrering, er ingen af de fem CVE’er på nuværende tidspunkt knyttet til kendt ransomware-brug. Det ændrer ikke på, at aktiv udnyttelse i sig selv er et rødt flag, uanset hvilken type angriber der står bag.
| Produkt | CVE | Sårbarhedstype | Udgivelsesår | Kendt ransomware-brug |
|---|---|---|---|---|
| Strapi | CVE-2023-22894 | Cleartext-opbevaring af følsomme oplysninger | 2023 | Ikke kendt |
| ONLYOFFICE Docs Server | CVE-2021-3199 | Sti-traversering (path traversal) | 2021 | Ikke kendt |
| Apache Struts | CVE-2016-3081 | Kommando-indsprøjtning (command injection) | 2016 | Ikke kendt |
| ISC BIND | CVE-2015-5477 | Fejl i databehandling (DoS) | 2015 | Ikke kendt |
| ProFTPD | CVE-2015-3306 | Mangelfuld adgangskontrol | 2015 | Ikke kendt |
Alle fem blev tilføjet til KEV-kataloget samme dag, 8. oktober 2026, og den føderale udbedringsfrist blev sat til 11. oktober 2026, altså bare tre dage efter. Det er en kort frist for amerikanske myndigheder, men for virksomheder uden for den forpligtelse er beskeden den samme: hvis et af disse produkter kører på en internetvendt server, bør det behandles som en akut opgave og ikke en post på en backlog.
Strapi og CVE-2023-22894: den nyeste af de fem
Strapi er et open source headless CMS, som mange mellemstore virksomheder og mediesites bruger til at styre indhold bag en API. CVE-2023-22894 handler om, at følsomme oplysninger, i nogle konfigurationer adgangskoder og tokens, kan blive opbevaret i klartekst i stedet for krypteret eller hashet. Det gør fejlen attraktiv for angribere, der allerede har fået en vis adgang til systemet, fordi den kan give dem nøglerne til at eskalere videre ind i resten af infrastrukturen.
At en fejl fra 2023 først lander på KEV-listen i 2026 er ikke ualmindeligt. CISA tilføjer typisk en sårbarhed, når der kommer konkret efterretning om udnyttelse, hvilket kan ske lang tid efter selve patchen er udgivet. Mange Strapi-installationer bliver sat op én gang og aldrig opdateret igen, særligt når de kører som en intern byggesten i et større system, hvor ingen har ejerskab over selve CMS-laget.
ONLYOFFICE Docs og sti-traversering: CVE-2021-3199
ONLYOFFICE Docs Server bruges ofte som den selvhostede motor bag dokumentredigering i skyløsninger, inklusive hos virksomheder, der af databeskyttelsesmæssige grunde ikke vil sende dokumenter til Microsoft eller Google. CVE-2021-3199 er en path traversal-fejl, der lader en angriber bryde ud af den mappe, serveren normalt begrænser adgang til, og i stedet læse eller skrive filer andre steder på systemet.
Den slags fejl er særligt farlig, fordi den ofte kræver minimal interaktion, en enkelt velformet forespørgsel kan være nok. Kombineret med, at dokumentservere typisk håndterer store mængder uploadede filer fra eksterne brugere, bliver angrebsfladen reelt enhver, der kan sende en fil eller et link til systemet. For organisationer, der valgte en selvhostet dokumentløsning netop for at undgå afhængighed af amerikanske cloud-giganter, er det en ubehagelig påmindelse om, at digital suverænitet ikke er det samme som sikkerhed.
Apache Struts, ISC BIND og ProFTPD: de tre ældste
De tre resterende sårbarheder stammer alle fra 2015 og 2016, hvilket gør dem mellem ti og elleve år gamle på optagelsestidspunktet. Apache Struts-fejlen, CVE-2016-3081, er en kommando-indsprøjtningssårbarhed i det webapplikationsframework, der i 2017 blev kendt verden over som den teknologi, Equifax-bruddet udnyttede, dengang gennem en anden Struts-fejl. Den historiske kontekst betyder ikke, at denne specifikke CVE er lige så stor en sag, men den viser, at Struts-installationer stadig flere steder kører forældede versioner, som ingen har haft mod på at opgradere, fordi frameworket ofte er dybt bundet ind i ældre forretningskritiske applikationer.
ISC BIND er en af de mest udbredte DNS-serverimplementeringer i verden, og CVE-2015-5477 handler om fejl i databehandlingen, som kan bruges til at vælte en navneserver gennem denial-of-service. DNS-infrastruktur er usynlig for de fleste brugere, men ligger i bunden af næsten alt internettrafik, så en sårbar BIND-installation kan være den svageste led i en kæde, ingen husker at kigge på. ProFTPD-fejlen, CVE-2015-3306, giver mangelfuld adgangskontrol i en FTP-server, der stadig driver fildeling hos et stort antal webhoteller og ældre virksomhedssystemer, selv i en tid hvor FTP ellers er på vej ud til fordel for SFTP og objektlagring.
Det fælles træk er, at ingen af de tre kræver nyeste teknologi eller avancerede teknikker for at blive misbrugt. De kræver blot, at nogen ikke har opdateret software, der kørte fint for ti år siden og derfor aldrig blev rørt siden.
Hvorfor et tiår-gammelt hul stadig er en trussel i 2026
Det korte svar er patch-gæld. Enhver virksomhed har et lager af software, som fungerer, ingen rapporterer fejl, og derfor ryger længere og længere ned på listen over ting, der skal opdateres. Et internt system uden direkte internetadgang kan leve længe uden konsekvens. Problemet opstår, når den samme forsømte installation alligevel er eksponeret, fordi en netværksændring, en ny integration eller bare en fejlkonfigureret firewallregel åbnede en vej udefra uden at nogen lagde mærke til det.
Automatiseret scanning gør resten af arbejdet for angriberne. Bots, der konstant leder efter kendte signaturer på tværs af hele internettet, finder forældede ProFTPD- eller BIND-versioner uden at nogen menneskelig angriber aktivt skal vælge målet. Når en installation findes, kan den blive udnyttet måneder eller år efter, at den oprindelige patch blev udgivet, simpelthen fordi ejeren aldrig fik den opdateret. Det er præcis den dynamik, KEV-kataloget er designet til at fange: ikke hvor farlig en fejl er på papiret, men hvor meget den rent faktisk bliver brugt derude lige nu.
Samme uge illustrerede volumen af denne type trusler fra en anden vinkel. Have I Been Pwned fik i perioden tilføjet fire nye brud, Angel One med 6.765.054 konti den 7. oktober, Neogen med 435.963 konti den 9. oktober, CyrusOne med 373.460 konti den 7. oktober og Double Counter med 274.922 konti samme dag, ifølge DEV Community-gennemgangen. Ingen af dem er direkte knyttet til de fem KEV-sårbarheder, men de viser et bredere billede af, hvor konstant tempoet i sikkerhedshændelser er blevet.
Markedspåvirkning: Norden i samme periode
Mens CISA opdaterede sit katalog, oplevede nordiske organisationer deres egen bølge af hændelser, uafhængigt af de fem sårbarheder, men som understreger samme pointe om eksponering og afhængighed. En gennemgang fra Hive Security samler flere af sagerne fra august og september 2026.
Bildelingsselskabet Ryde opdagede uautoriseret adgang og kopiering af kundedata natten til 2. august. Selskabets opdaterede meddelelse fra 5. august sagde, at alle konti var påvirket, og nyhedsbureauet NTB satte det potentielle omfang til omkring 4,5 millioner konti fordelt på Norge, Sverige, Finland og Tyskland. Ryde oplyste samtidig, at fulde kortnumre ikke blev opbevaret i systemerne, og at kørehistorik ikke blev udtrukket, bortset fra oprettelsesstedet for kontoen.
Den svenske it-forhandler Dustin meldte om en alvorlig hændelse den 3. september, med bekræftet uautoriseret adgang til interne systemer og midlertidig nedlukning som forholdsregel. Ved en opdatering den 10. september var bestillingssider og kundeportaler igen i normal drift, mens det retsmedicinske arbejde med at afklare, hvilke data der var involveret, fortsatte. I Norge ramte et DDoS-angreb den norske digitaliseringsdirektorat Digdirs delte offentlige tjenester, herunder ID-porten, MinID, Maskinporten og Altinn, med angrebet startende klokken 03:38 den 24. august. Digdir meldte om korte perioder med total nedetid og længere perioder med delvis forstyrrelse, uden tegn på indbrud eller udtræk af persondata. Få dage efter, den 29. august, blev tjenesteudbyderen Sikt ramt af et separat DDoS-angreb, der gjorde flere tjenester ustabile, før driften stabiliserede sig omkring 1. september.
I Danmark erklærede ransomware-gruppen Settra den 23. september ansvar for et angreb mod Vestfrost Solutions, en dansk leverandør af kølemøbler, og truede med at offentliggøre følsomme virksomhedsdata, hvis forhandling ikke blev indledt, ifølge en opgørelse fra efterretningstjenesten DeXpose. Og i baggrunden fortsatte sagen om Danmarks CPR-register, hvor en privat virksomheds lovlige opslagsadgang blev misbrugt til omkring 14 millioner automatiserede opslag mellem 10. og 20. september, en sag der ramte oplysninger om cirka 8,8 millioner personer og først blev offentliggjort af digitaliseringsministeriet den 5. oktober.
| Hændelse | Land | Dato | Type | Omfang |
|---|---|---|---|---|
| Ryde-databrud | Norge/Sverige/Finland/Tyskland | 1.-2. august 2026 | Databrud | Ca. 4,5 mio. konti (NTB-estimat) |
| Digdir DDoS | Norge | 24. august 2026 | Denial-of-service | ID-porten, MinID, Maskinporten, Altinn ramt |
| Sikt DDoS | Norge | 29. august 2026 | Denial-of-service | Flere offentlige tjenester ustabile |
| Dustin-hændelse | Sverige | 3. september 2026 | Uautoriseret systemadgang | Interne systemer, portaler lukket midlertidigt |
| Vestfrost/Settra | Danmark | 23. september 2026 | Ransomware (trussel om læk) | Dansk kølemøbelproducent |
| CPR-registret | Danmark | 10.-20. sept. (aktivitet), afsløret 5. okt. | Databrud via tredjepartsadgang | Ca. 8,8 mio. personer |
Ingen af disse sager er direkte forbundet til de fem KEV-sårbarheder. Men tilsammen tegner de et billede af en region, hvor både ældre software, delte offentlige systemer og tredjepartsadgang udgør reelle, gentagne svagheder, uanset om angrebsvektoren er en elleve år gammel FTP-fejl eller et misbrugt API-login.
Konkurrerende prioriteringsmodeller: KEV mod CVSS mod EPSS
En naturlig reaktion fra it-afdelinger er at spørge, hvorfor de skal følge endnu en liste, når de allerede bruger CVSS-score til at prioritere patching. Svaret ligger i, hvad de to systemer faktisk måler. CVSS beskriver en sårbarheds tekniske alvorlighed på en skala fra 0 til 10 uafhængigt af, om nogen reelt forsøger at udnytte den. En fejl kan score 9,8 i CVSS og aldrig blive rørt af en angriber, mens en anden fejl med en moderat score bliver det foretrukne redskab for tusinder af automatiserede angreb.
EPSS (Exploit Prediction Scoring System), drevet af organisationen FIRST, forsøger at bygge bro ved at beregne en sandsynlighed for, at en given sårbarhed bliver udnyttet inden for de næste 30 dage, baseret på maskinlæring trænet på observerede angrebsdata. KEV går et skridt videre og fjerner sandsynligheden helt: en sårbarhed kommer kun på listen, når der allerede foreligger bekræftet udnyttelse. De tre systemer besvarer derfor tre forskellige spørgsmål, hvor slemt kunne det blive, hvor sandsynligt er det, og sker det allerede, og en velfungerende patch-strategi bruger typisk alle tre i kombination snarere end at vælge én fremfor de andre.
I praksis betyder det, at et sikkerhedsteam, der kun kigger på CVSS, risikerer at overse netop den type sårbarhed, som denne artikel handler om. Ingen af de fem fejl i Strapi, ONLYOFFICE, Struts, BIND eller ProFTPD er nødvendigvis blandt de højeste CVSS-scorer i deres respektive produkter, men de er alle bekræftet aktivt udnyttet lige nu, og det alene bør flytte dem til toppen af enhver patch-kø.
Historisk kontekst: fra Equifax til dagens patch-gæld
Mønstret med gamle sårbarheder, der bliver nye angrebsveje, er ikke nyt. Det store Equifax-brud i 2017 skete gennem en Apache Struts-sårbarhed, som havde en patch tilgængelig i over to måneder, før angriberne udnyttede den. Lektien dengang var, at tilgængelig patch ikke er det samme som installeret patch, og den lektie gentager sig ni år senere med en anden Struts-CVE på samme KEV-liste.
Det, der er ændret siden 2017, er tempoet og synligheden. KEV-kataloget eksisterede ikke dengang, og organisationer havde ingen central, autoritativ kilde til at vide, hvilke fejl der rent faktisk var i spil. I dag tilføjer CISA typisk flere sårbarheder om ugen, og ugen før denne batch bragte seks nye poster, inklusive to Citrix NetScaler zero-days, en SharePoint-fejl kombineret med en autentificeringsbypass, og en MikroTik RouterOS-sårbarhed, der kunne kædes sammen til fuld administrativ overtagelse uden login. Kontrasten mellem den uges friske zero-days og denne uges tiår-gamle fejl viser, at trusselsbilledet rummer begge yderpunkter samtidig, og at et forsvar, der kun fokuserer på det nyeste, overser den langt mere forudsigelige risiko fra det, der allerede er kendt og rettet, men ikke installeret.
Hvad it-afdelinger bør gøre nu
Det første skridt er ikke teknisk, det er et spørgsmål om inventar. Mange organisationer kan ikke med sikkerhed svare på, om de kører Strapi, ONLYOFFICE, Struts, BIND eller ProFTPD et sted i deres infrastruktur, fordi softwaren blev sat op af en afdeling eller leverandør, der for længst er videre. Det nytter ikke at stole på hukommelsen, systemlisten skal bekræftes mod den faktiske drift.
# Find kørende ProFTPD- og BIND-versioner på et Linux-system
proftpd -v 2>/dev/null
named -v 2>/dev/null
# Søg i pakkelisten efter Struts og ONLYOFFICE-relaterede komponenter
dpkg -l | grep -iE "struts|onlyoffice"
rpm -qa | grep -iE "struts|onlyoffice"Når et system er identificeret, er næste skridt at bekræfte, at en patch rent faktisk er anvendt, ikke bare downloadet. En opdatering, der ligger klar i en changelog, men aldrig er rullet ud til produktion, tæller som ubeskyttet i praksis. Hvis øjeblikkelig patching ikke er muligt, bør eksponeringen begrænses: lås administrationsgrænseflader til kendte IP-adresser, deaktiver den sårbare funktion, eller placer tjenesten bag en adgangsport, teamet har tillid til. Det sidste trin er overvågning. Systemer, der tidligere var usynlige i logovervågningen, bør tilføjes nu, så en eventuel udnyttelse bliver fanget hurtigt i stedet for at ligge uopdaget i ugevis, som det skete i CPR-sagen, hvor der gik tolv dage mellem sidste automatiserede opslag og opdagelsen.
Forudsigelser: hvad sker der resten af 2026
- Flere årtier-gamle CVE’er vil dukke op på KEV. Tempoet i 2026 har vist, at CISA løbende finder bevis for udnyttelse af ældre, kendte fejl, og intet tyder på, at den strøm stopper før årsskiftet.
- Ugentlige tilføjelser bliver normen, ikke undtagelsen. To batches på elleve sårbarheder over to uger i oktober peger mod et katalog, der vokser hurtigere end tidligere år, hvilket kræver, at sikkerhedsteams tjekker listen som en fast rutine snarere end sporadisk.
- Delt infrastruktur i Norden forbliver et mål. Efter DDoS-angrebene mod Digdirs og Sikts tjenester i Norge vil flere angribere sandsynligvis teste, hvor meget forstyrrelse der kan opnås ved at ramme én delt login- eller registreringstjeneste i stedet for mange enkeltstående mål.
- Tredjepartsadgang bliver et tilsynsfokus. Efter CPR-sagen er det sandsynligt, at tilsynsmyndigheder i hele Norden skærper kravene til, hvordan virksomheder overvåger og begrænser eksterne parters opslagsrettigheder i offentlige og private registre.
- EPSS-baseret prioritering vinder mere plads hos større virksomheder. I takt med at antallet af CVE’er stiger hurtigere end patchekapaciteten, vil flere organisationer kombinere KEV med EPSS-score for at sortere i, hvad der skal rettes først, frem for at læne sig på CVSS alene.
Ofte stillede spørgsmål
Hvad er CISA’s KEV-katalog?
KEV, Known Exploited Vulnerabilities, er en liste drevet af den amerikanske cybersikkerhedsmyndighed CISA over sårbarheder, hvor der findes bekræftet bevis for, at de aktivt bliver udnyttet af angribere. Listen adskiller sig fra en generel CVE-database ved kun at indeholde fejl, der reelt er i spil lige nu, ikke blot teoretisk farlige.
Hvilke fem sårbarheder blev tilføjet den 8. oktober 2026?
Det var CVE-2023-22894 i Strapi, CVE-2021-3199 i ONLYOFFICE Docs Server, CVE-2016-3081 i Apache Struts, CVE-2015-5477 i ISC BIND og CVE-2015-3306 i ProFTPD. Alle fem dækker forskellige sårbarhedstyper, fra cleartext-opbevaring af følsomme data til sti-traversering og mangelfuld adgangskontrol.
Gælder CISA’s patch-frist også for danske og nordiske virksomheder?
Direktivet, der sætter fristen til 11. oktober 2026, er juridisk bindende for amerikanske føderale myndigheder, ikke for private virksomheder i Danmark eller resten af Norden. I praksis bruges KEV-kataloget dog bredt som en pålidelig indikator for, hvad der bør prioriteres højt, uanset geografi, fordi optagelse kræver bekræftet aktiv udnyttelse.
Er nogen af de fem sårbarheder knyttet til ransomware?
Nej. Ifølge den offentlige KEV-registrering er ingen af de fem fejl på nuværende tidspunkt knyttet til kendt ransomware-brug. Det udelukker dog ikke, at situationen kan ændre sig, hvis flere angribergrupper begynder at inkludere sårbarhederne i deres angrebskæder.
Hvorfor bliver en elleve år gammel sårbarhed først udnyttet nu?
Fordi softwaren, den findes i, ofte aldrig bliver opdateret, selv efter patchen er udgivet. Automatiseret scanning finder løbende forældede installationer på internettet, og en sårbarhed kan ligge uudnyttet i flere år, indtil en angriber eller et botnet rammer netop den server, der aldrig blev patchet.
Hvad er forskellen mellem CVSS, EPSS og KEV?
CVSS måler en sårbarheds tekniske alvorlighed på en skala fra 0 til 10 uafhængigt af reel udnyttelse. EPSS, drevet af FIRST, beregner en sandsynlighed for udnyttelse inden for de næste 30 dage ud fra observerede angrebsdata. KEV er det mest konkrete af de tre, fordi en sårbarhed kun kommer med, når udnyttelse allerede er bekræftet at finde sted.
Hvordan finder jeg ud af, om min organisation kører en af de sårbare komponenter?
Start med en fuld opgørelse af internetvendte systemer, og søg specifikt efter produktnavnene i pakkelister, containerimages og leverandørdokumentation i stedet for at stole på hukommelsen. Bekræft derefter versionsnummeret direkte på den kørende installation, og sammenlign det med leverandørens sikkerhedsbulletiner for hver af de fem CVE’er.