Nesten en tredel av sårbarhetene i ukens oversikt har ingen alvorlighetsgrad

Det ukentlige sårbarhetssammendraget fra CISA for uken som begynte 10. august fører opp 3882 sårbarheter. 1865 av dem er gradert som høy alvorlighetsgrad, 776 som middels og 57 som lav. De resterende 1184 står oppført med «not yet calculated», altså uten noen beregnet alvorlighetsgrad. 27 av oppføringene har den høyeste scoren 10, og blant dem er Adobe ColdFusion 2025, SAP Commerce Cloud, Siemens SIMATIC IoT2050 Advanced og to sårbarheter i Metabase.

Hva som skjer teknisk

Sammendraget er en liste, ikke en analyse. CISA skriver selv at bulletinen oppsummerer sårbarheter som er registrert den siste uken, og at deler av innholdet er hentet fra åpne kilder utenfra og ikke er resultat av CISAs egen analyse. Inndelingen følger CVSS, der høy er 7,0 til 10,0, middels er 4,0 til 6,9 og lav er 0,0 til 3,9. Oppføringene uten score står i en egen seksjon merket «Severity Not Yet Assigned». CISA oppgir ingen totalsum i bulletinen, så tallene i denne saken er talt opp av oss i selve oversikten.

Volumet sier mindre om trusselbildet enn det ser ut til. 1217 av de 3882 oppføringene gjelder Linux-kjernen, og alle sammen har den samme innledningen i beskrivelsen: «In the Linux kernel, the following vulnerability has been resolved». Det er altså feil som allerede er rettet i kjernen, registrert som hver sin CVE. Microsoft står for 409 oppføringer, og 218 av beskrivelsene nevner WordPress. Summen på 3882 er derfor ikke 3882 nye angrepsmuligheter i ett enkelt IT-miljø. Det er et register over alt som ble registrert i løpet av uken, uavhengig av hva den enkelte virksomhet har i drift.

Toppen av listen er en annen sak. Metabase står oppført to ganger med score 10, gjennom CVE-2026-72898 mot endepunktet for passordgjenoppretting og CVE-2026-72899 gjennom et offentlig delt kort eller dashbord som eksponerer et feltfilter. Siemens SIMATIC IoT2050 Advanced er ført opp fordi Node-RED-grensesnittet ikke krever pålogging, slik at en angriper utenfra kan lage flyter som kjører kommandoer med høyeste rettigheter. Haiwell IoT Cloud HMI Gateway har en kommandoinjeksjon i funksjonen for nettverkssjekk, og den kjører som root. WordPress-utvidelsen Link Factory er ført opp med en beskrivelse som ikke levner tvil: utvidelsen er en bakdør, distribuert som et verktøy for å publisere setninger på forsiden, med et API som operatøren styrer gjennom en innebygd nøkkel.

Hva det betyr for deg som prioriterer oppdateringene

Listen er etter vår vurdering ubrukelig som arbeidsliste, og det er ingen kritikk av CISA. Den er bygget for å være fullstendig, ikke for å være køen din. Har du 3882 oppføringer og ingen oversikt over hva du faktisk har stående, finnes det ingen vei fra listen til en beslutning. Har du derimot en oppdatert oversikt over programvaren i drift, krymper de 3882 til et håndterbart antall som faktisk angår deg. Verdien ligger altså i oversikten din, ikke i bulletinen.

De 1184 oppføringene uten alvorlighetsgrad fortjener en egen tanke. Et manglende tall betyr at ingen har rukket å beregne det ennå, ikke at sårbarheten er ufarlig. Sorterer verktøyet ditt på CVSS, havner disse nederst eller faller helt ut av listen, og der blir de liggende til noen setter et tall på dem uker senere. Har du en prosess som bare ser på score, har du en blindsone som dekker nesten en tredel av ukens oppføringer. Vi anbefaler å behandle «not yet calculated» som ukjent risiko, og la leverandøren og produktet avgjøre hastverket i stedet for det tomme feltet.

Berigo anbefaler

• Hold en oppdatert oversikt over programvaren dere har i drift, med versjon og navngitt eier. Uten den kan ingen sårbarhetsliste prioriteres.
• Filtrer ukens oversikt mot deres egen produktliste, i stedet for å lese den ovenfra og ned.
• Behandle oppføringer merket «not yet calculated» som ukjent risiko, aldri som lav risiko.
• Undersøk om noen av de 27 oppføringene med score 10 gjelder produkter dere har, og begynn der.
• Gå gjennom utvidelsene i publiseringsløsningen deres, og fjern dem ingen har et navngitt behov for. Link Factory er ført opp som en ren bakdør.