Hackerkonkurrencer tiltrækker verdens skarpeste it-sikkerhedseksperter, og netop disse arrangementer er ofte stedet, hvor alvorlige sårbarheder bliver afdækket først. Ifølge et vedholdende rygte ses der færre opdagede og rettede sårbarheder i Microsofts produkter i juli og august i forbindelse med Patch Tuesday – simpelthen fordi mange sikkerhedsresearchere 'gemmer' dem til Black Hat i Las Vegas i samme periode. Eller bare er travlt optaget af forberedelserne.

Ivanti har identificeret to 0-dagssårbarheder i deres Endpoint Manager Mobile (EPMM) produkt, tidligere kendt som MobileIron Core. Disse sårbarheder, CVE-2025-4427 og CVE-2025-4428, kan kædes sammen, hvilket muliggør uautoriseret fjernudførelse af kode på sårbare systemer. Det skriver Dark Reading.

CVE-2025-4427 er en autentifikationsomgåelse, der tillader uautoriseret adgang til EPMM's API, mens CVE-2025-4428 er en kritisk sårbarhed, der muliggør fjernafvikling af kode. Når de kombineres, kan en angriber opnå fuld kontrol over et sårbart system.

Et proof-of-concept-værktøj, der anviser en metode til udnyttelse af en kritisk sårbarhed i Apache Parquet er blevet offentliggjort.

Sårbarheden har id’et CVE-2025-30065 og en CVSS-score på 10. Den gør det muligt for en angriber at afvikle vilkårlig kode på sårbare systemer. Det skriver Bleeping Computer. 

Cisco har udsendt sikkerhedsopdateringer til en kritisk sårbarhed i IOS XE Wireless Controller-softwaren, der kan give angribere mulighed for at få fuld kontrol over udsatte systemer – uden autentificering. Sårbarheden har id'et CVE-2025-20188 og en maksimal CVSS-score på 10,0.

Det skriver The Hacker News baseret på en advisory fra Cisco.

Juniper advarede den 9. april 2025 om en alvorlig sårbarhed i Junos OS og Junos OS Evolved. Sårbarheden gør det muligt for en ondsindet aktør at forårsage en DoS ved at sende særligt udformede ICMPv6-pakker til enheder på netværket med Junos OS og Junos OS Evolved installeret. 

Google har lanceret Chrome version 136 og i den forbindelse gennemført otte sikkerhedsrettelser, hvoraf fire er indrapporteret af eksterne sikkerhedsresearchere. Den mest alvorlige af disse, CVE-2025-4096, er en heap buffer overflow-fejl i browserens HTML-komponent og er klassificeret som høj risiko. Fejlen kan udnyttes til at kompromittere brugerens system. 

Det skriver Security Week.

Cisco har bekræftet, at nogle af CISCOs produkter er sårbare over for en nylig funden sårbarhed i Erlang/OTP SSH. Sårbarheden kan føre til remote code execution (RCE). 

Sårbarheden har id’et CVE-2025-32433 og en CVSS-score på 10,0.

De berørte systemer er 

Erlang

• >= OTP-27.0-rc1 < OTP-27.3.3
• >= OTP-26.0-rc1 < OTP-26.2.5.11
•  < OTP-25.3.2.20

Der er endnu ikke observeret udnyttelse af sårbarheden. 

Normalt er det sårbarheder med de høje CVSS-scorer, der får mest opmærksomhed. Med rette, for de er almindeligvis dem, der er nemmest at udnytte, og som også har den største impact ift. fortrolighed, integritet og tilgængelighed af data.

Men i forbindelse med sidste måneds Patch Tuesday, der faldt den 11. marts, var en sårbarhed, hvis sandsynlighed for udnyttelse af Microsoft blev vurderet til at være ”mindre”, blevet ”weaponized”. I cybersikkerheds-lingo betyder det, at den nu er et angrebsvåben, fordi trusselsaktører har fundet en metode til at udnytte den, 

Der er fundet en en "unverified password change"-sårbarhed i Fortinets FortiSwitch GUI. Sårbarheden kan potentielt give en ondsindet aktør mulighed for at ændre administratoradgangskoder gennem en særligt udformet anmodning. 

Sårbarheden har id’et CVE-2024-48887 og en CVSS-score på 9,3. Nummeret på CVE’en indikerer, at sårbarheden er fra 2024. Det betyder, at den altså er er fundet i 2024, men den er først offentlig tilgængelig nu, hvor der er en rettelse tilgængelig. 

De berørte systemer er følgende:

En kritisk sårbarhed i filoverførselstjenesten CrushFTP, som vi omtalte i slutningen af marts, har for nylig været genstand for kontrovers på grund af tidlig offentliggørelse og misforståelser. Sårbarheden, der gør det muligt for angribere at omgå autentificering og få adgang til CrushFTP-servere via eksponerede HTTP(S)-porte, har nu – og efter et par ugers venten – endelig fået tildelt et id-nummer, nemlig CVE-2025-2825. Det skriver Dark Reading.