…

Firewalls, VPN og routere

Hvorfor kendte sårbarheder bliver udnyttet i årevis

Sårbarheden blev offentliggjort i 2020. Rettelsen har ligget klar lige så længe. Den bliver udnyttet nu, fordi ingen har installeret den.

Forsvarets Efterretningstjeneste har målt, at 56 procent af cyberangreb mod danske organisationer starter med udnyttelse af en sårbarhed. Ikke med phishing. Ikke med en stjålen adgangskode. Med et hul, nogen kendte til.

Styrelsen for Samfundssikkerhed fastslog i november 2025, at fremmede stater systematisk udnytter kendte sårbarheder i netværksudstyr. Truslen fra cyberspionage mod Danmark vurderes som MEGET HØJ.

Udstyret står i kanten af netværket. Det er derfor, det er attraktivt. Og det er derfor, det sjældent bliver opdateret.

Seksten sager fra arkivet viser mønstret. I samtlige tilfælde fandtes rettelsen eller indstillingen, før angrebet skete.

Hvorfor det gentager sig

Rettelsen kræver nedetid: En firewall kan ikke opdateres midt i arbejdstiden. Det kræver et vindue, en aftale med leverandøren og nogen, der tør trykke. Opgaven bliver udskudt, og udskydelsen bliver permanent.

Ingen ejer udstyret: Serverne har en ansvarlig. Netværksudstyret blev sat op af en leverandør for seks år siden. Siden har ingen rørt det, og ingen fører liste over, hvad der står hvor.

Udstyret er nået til vejs ende uden at nogen opdagede det: Producenten stoppede med at udsende rettelser. Boksen virker stadig, lyset er grønt, og derfor bliver den stående.

Tempoet er skiftet: IT-Branchen opgør, at 15 procent af danske SMV’er stadig undlader helt basale sikkerhedstiltag som systemopdateringer. Samtidig går der i dag timer og ikke måneder, fra en rettelse offentliggøres, til hullet bliver udnyttet.

Hullet var kendt, og rettelsen fandtes

Fem sager. I alle fem var problemet offentliggjort, og løsningen lå klar. Angrebet skete alligevel.

• En firewall-sårbarhed fra 2020 udnyttes stadig: Rettelsen har været tilgængelig i årevis. IT-Branchen opgør, at 15 procent af danske SMV’er undlader systemopdateringer.
• Én indstilling gav hackere direkte adgang: CISA tilføjede sårbarheden til sit katalog over aktivt udnyttede huller. Fejlen sad i konfigurationen, ikke i produktet.
• VMware-sårbarhed udnyttes aktivt: Mere end halvdelen af danske cloudløsninger kører på VMware. Rettelsen kom i 2024.
• Rettelsen blev til et angreb på 48 timer: Offentliggørelsen af en rettelse fortæller også angriberen, hvor hullet sidder.
• Syv dage uden patch, så var de inde: 63.000 betjentes data endte hos russiske hackere. Vinduet var en uge.

Ingen vidste, hvad der stod i kanten af netværket

Her er problemet ikke tempoet. Det er, at ingen kunne svare på, hvad der overhovedet skulle opdateres.

• 91 procent kunne opdateres, men blev det ikke: Rigsrevisionen gennemgik netværksudstyr, der betjener 23 ministerier. Rettelserne lå klar og blev ikke installeret.
• Udstyr uden support er en åben dør: Producenten stoppede opdateringerne i 2020. Boksene kører stadig i danske virksomheder.
• Ved I, hvilken firewall I bruger: Spørgsmålet er ikke retorisk. De færreste ledelser kan svare uden at ringe til leverandøren.
• En router til 400 kroner blev indgangen: CISA har mindst seks sårbarheder i samme produktfamilie i sit katalog over aktivt udnyttede huller.
• Hjemmerouteren blev brugt til svindel: Europol og FBI lukkede en tjeneste, der havde inficeret 369.000 routere i 163 lande.

Netværksudstyret er selve målet

Det er ikke en tilfældig indgang. Kanten af netværket ser al trafik, logger sjældent nok, og bliver overvåget mindre end serverne indenfor.

• Et udenrigsministerium blev hacket gennem en firewall: Gruppen bag specialiserer sig i netværksudstyr. Styrelsen for Samfundssikkerhed vurderer truslen fra cyberspionage mod Danmark som MEGET HØJ.
• Tre år usynlig med kontrol over trafikken: Sårbarheden fik alvorlighedsgrad 10 ud af 10. Alt så normalt ud på skærmene hele vejen.
• 50.000 statsansatte berørt via ét sårbart system: I et andet land måtte datatilsynet anmelde sig selv for bruddet.
• Fire firewall-producenter berørt på ti dage: Det er ikke ét produkt, der er problemet. Det er kategorien.
• Hvem kontrollerer jeres firewall: Udstyret i kanten af netværket ser al trafik. Spørgsmålet om ejerskab og jurisdiktion følger med.
• En VPN-opdatering blev blokeret uden varsel: Udvikleren bag en udbredt protokol fik sin konto deaktiveret. Kunderne kunne ikke modtage rettelser.

Hvorfor vinduet er blevet så kort

Tidligere gik der måneder, fra en sårbarhed blev offentliggjort, til nogen udnyttede den. I dag går der dage. I flere af sagerne ovenfor gik der timer.

Årsagen er, at offentliggørelsen af en rettelse også er en beskrivelse af hullet. Angriberen læser den samme meddelelse som jer og skal kun bygge én ting. I skal planlægge nedetid, koordinere med en leverandør og finde et vindue.

Samtidig scannes hele internettet løbende for eksponeret udstyr. Angriberen leder ikke efter jer. Han leder efter en bestemt version, og finder han den hos jer, er I det næste mål.

Det ændrer, hvad en patchpolitik skal indeholde. Ikke om der opdateres, men hvor hurtigt, hvem der beslutter det uden for arbejdstid, og hvad der sker, hvis leverandøren ikke svarer.

Hvad der går galt, når forsvaret bygges

Patchning måles på servere, ikke på kanten: Rapporten viser grønt, fordi den kun tæller det, overvågningen kender. Firewallen indgår ikke i tallet.

Leverandøren opdaterer kun det, aftalen nævner: Står netværksudstyret ikke i serviceaftalen, bliver det ikke opdateret. Det opdager de fleste først bagefter.

Konfigurationen bliver aldrig gennemgået: Flere af sagerne ovenfor handler ikke om manglende rettelser, men om en indstilling, der stod forkert fra dag ét.

Hjemmearbejdspladsen tælles ikke med: Medarbejderens egen router er en del af jeres angrebsflade. Den står bare ikke på nogen liste hos jer.

Der findes ingen plan for det, der ikke kan opdateres: Noget udstyr kan ikke patches, fordi producenten er stoppet, eller fordi en integration knækker. Uden en beslutning om at udskifte det eller isolere det bliver det stående som det er.

Hvad I kan gøre

1. Lav en liste over alt udstyr med en offentlig adresse: Firewalls, VPN-koncentratorer, routere, kameraer, printere. Med model, firmwareversion og hvornår producenten stopper supporten.
2. Sæt en frist for kritiske rettelser i kontrakten: Ikke at der patches, men hvor hurtigt. Sagerne ovenfor viser vinduer på dage og timer.
3. Bed om en konfigurationsgennemgang og ikke kun en versionsliste: Flere af sagerne skyldtes en indstilling, ikke en manglende opdatering.
4. Afklar, hvem der ejer netværksudstyret: Med navn. Uden en ejer bliver opgaven liggende mellem jer og leverandøren.
5. Tag hjemmearbejdspladserne med, næste gang I fornyr udstyret: Enten ved at levere udstyret selv eller ved at kræve, at adgangen går gennem noget, I kontrollerer.

Hvilken ydelse afdækker det

En penetrationstest viser, hvad der faktisk er eksponeret ud mod internettet, og hvor langt en angriber når gennem det. Den finder det udstyr, ingen huskede at sætte på listen.

En teknisk gennemgang ser på konfigurationer, firmwareversioner og rettigheder, og på om det leverandøren rapporterer, stemmer med det, der står i racket.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Anbefalingen bliver derfor ikke et bestemt mærke firewall.

Beslægtede mønstre

Kommer angriberen ind gennem udstyret, bliver spørgsmålet, hvor hurtigt I kan komme tilbage. Det behandles under ransomware og backup. Er det leverandørens udstyr og ikke jeres eget, er vinklen leverandørangreb.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, hvad der står eksponeret hos jer

Ved I, hvilke af jeres enheder der kan nås fra internettet lige nu? Og hvornår de sidst fik en sikkerhedsopdatering?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres netværksudstyr og finder ud af, om jeg kan hjælpe.