Et sikkerhetsvarsel kan nevne en programvarekomponent ingen i ledelsen kjenner navnet på, selv om den finnes i utstyr bedriften er avhengig av. Hvis ingen vet hvilken enhet og versjon som er installert, er det vanskelig å finne ut om det finnes en oppdatering og hvem som må handle.
Dette er en praktisk utfordring for norske virksomheter med tilkoblet byggautomasjon, industriutstyr og annet utstyr som skal vare lenge. Be leverandøren av utstyret om et svar for den konkrete modellen. Det holder ikke å vite at en programvarekomponent er rettet et sted i leverandørkjeden.
Dette fant forskerne
Sikkerhetsselskapet Forescout beskrev 12. november 2026 sin forskning på nettverksprogramvare som brukes i tilkoblet utstyr. Forskerne bygget et spesialisert system som kombinerte KI-modeller, vanlige analyseverktøy og menneskelig oppfølging. De oppgir at de fant 99 sårbarheter i ti programvarekomponenter, hvorav de regnet 66 som nye. Av de nye funnene meldte de 54 til leverandører eller vedlikeholdere, fordi de mente disse fortsatt gjaldt de nyeste versjonene.
En nettverkskomponent er programvare som hjelper en enhet med å kommunisere over et nettverk. Den samme komponenten kan være bygget inn i utstyr som selges under mange ulike produktnavn. En feil i komponenten betyr ikke at alle produkter som bruker den, kan angripes. Versjon, innstillinger, aktive funksjoner og tilgang til nettverket har betydning.
Forescout oppgir at den selvstendige KI-analysen tok omtrent ti timer, og den etterfølgende testingen rundt 80 timer. Sammenligningen med tidligere manuelt arbeid er ikke en kontrollert sammenligning av identiske oppgaver. De oppgitte kostnadene inkluderer ikke arbeidet med å bygge analysesystemet og infrastrukturen. Verktøyet fant dessuten igjen bare 33 av 82 tidligere kjente funn i sammenligningsgrunnlaget. Resultatet viser at KI kan være nyttig i sikkerhetsforskning. Det viser ikke at KI finner alle feil, eller at disse sårbarhetene er utnyttet mot norske virksomheter.
Et eksempel: Svaret avhenger av modellen
Siemens' sikkerhetsvarsel SSA-333035, publisert 13. oktober 2026, lister sårbarheter i bestemte produkter i APOGEE-, TALON- og Desigo-seriene for byggautomasjon. Siemens opplyser at feilene kan gjøre berørte enheter utilgjengelige. Produktvarselet fra oktober og forskningsrapporten fra november er to forskjellige hendelser. Varselet ble ikke publisert i november.
Da kildene ble kontrollert 14. november, oppga Siemens at det fantes oppdateringer for enkelte varianter av APOGEE PXC Compact og Modular. For andre modeller på listen, blant annet bestemte versjoner av Desigo PXC/PXM, var ingen retting planlagt. Siemens anbefaler risikoreduserende tiltak for disse. Riktig svar avhenger av produkt, versjon og sårbarhet. Dette betyr ikke at alle styreenheter fra Siemens er berørt, eller at en bestemt norsk installasjon er angrepet.
For den aktuelle Desigo-sårbarheten CVE-2026-89208 anbefaler Siemens å skille nettverkene og beskytte styreenhetene med riktig konfigurerte gatewayer eller brannmurer. For fire andre sårbarheter på listen anbefaler selskapet å slå av FTP- og webtjenester, som det opplyser er slått av som standard i de nevnte produktseriene. Dette er råd for bestemte produkter og feil, ikke en generell beskjed om å koble fra all byggautomasjon.
Be leverandøren om et svar dere kan bruke
Tenk deg et norsk eiendomsselskap der en ekstern leverandør vedlikeholder byggets styringssystem. Selskapet kjenner navnet på systemet, men ikke modellene som står i hvert styreskap. Dette er et oppdiktet eksempel.
Eiendomsansvarlig og leverandøren bør sammen lage en oversikt over enhetene som trengs for å drifte bygget: nøyaktig produkt og programvareversjon, plassering, nettverkstilkoblinger og om utstyret fortsatt støttes. NSMs råd om kartlegging av enheter og programvare anbefaler en slik oversikt, også over fastvare og utstyr som ikke lenger støttes.
Spør deretter leverandøren og produsenten:
- Står akkurat denne modellen og versjonen i sikkerhetsvarselet? Hvis komponenten er bygget inn i et produkt med et annet navn, kan produsenten bekrefte om produktet er berørt?
- Finnes det en oppdatering for selve enheten, og er den testet og støttet? En retting i en programvarekomponent er ikke bevis på at den installerte styreenheten er oppdatert.
- Hvis ingen retting er planlagt eller svaret er ukjent, hvilke tjenester og nettverksforbindelser bør begrenses? Hvem tester at alarmer, vedlikehold og sikker drift fortsatt fungerer?
- Hvem har ansvar for den midlertidige beskyttelsen, hvordan kontrolleres den, og når skal utskifting eller en annen varig løsning avgjøres?
Før opp spørsmål som ikke er besvart. At dere ikke har funnet bevis for at en enhet er berørt, er ikke det samme som at den er friskmeldt. Prioriter etter hvor tilgjengelig utstyret er for angrep og hva en feil vil bety for driften. Dere trenger ikke undersøke alt tilkoblet utstyr samtidig.
Lag en plan når utstyret ikke kan oppdateres
Det kan være riktig å isolere eller skifte ut en styreenhet. Men å endre forbindelser uten å involvere dem som drifter bygget, kan også stanse alarmer eller nødvendig vedlikehold. Test tiltaket sammen med de driftsansvarlige og avtal en reserveløsning. Selv et system som er helt frakoblet, trenger kontroll på fysisk tilgang, service-PC-er og flyttbare lagringsmedier.
Fjerntilgang kan gi raskere reparasjoner og spare reisetid. For noen installasjoner kan det være et godt kompromiss å fjerne unødvendig direkte tilgang fra internett og beholde en kontrollert vei inn for service. For andre kan permanent frakobling eller utskifting være bedre. Valget må bygge på den faktiske installasjonen, og dere må kontrollere at beskyttelsen virker.
Ledelsen har ansvar for oversikten, oppfølgingen av leverandøren og beslutningen om uløst risiko. Styret bør spørre om kritisk utstyr uten støtte har en ansvarlig, en finansiert plan og en dato for ny vurdering. Det trenger ikke å velge brannmurregler.
Begynn med én viktig styreenhet. Finn ut nøyaktig hvilken modell dere har, om den er berørt og om den fortsatt får støtte. Avgjør hva dere skal gjøre dersom svaret fortsatt er ukjent. Se også guiden til beredskap for kjøleanlegg og hvordan ledelsen kan prioritere sikkerhetsoppdateringer.
Kildene ble kontrollert 14. november 2026. Eiendomsselskapet er oppdiktet, og fremgangsmåten for ledelsen er forfatterens anbefaling. Illustrasjonen er KI-generert.