Steinn Örvar Bjarnason
netöryggissérfræðingur hjá Rekstrarlausnum Advania

Salt Typhoon, hópur tölvuþrjóta sem rakinn er til kínverskra stjórnvalda, braust inn í beina hjá tveimur íslenskum fyrirtækjum í mars 2025. Þetta kemur fram í ársyfirliti CERT-IS fyrir 2025. Að baki rakningunni standa 23 öryggisstofnanir í 13 löndum, þar á meðal CISA, netöryggisstofnun Bandaríkjanna.

Og hópurinn þurfti ekkert sérstaklega flókið til. Samkvæmt CISA notar hann ekki óþekkta veikleika (e. zero-days) heldur þekkta veikleika sem öryggisuppfærslur eru löngu komnar út fyrir, einn þeirra frá 2018, og svo stolin eða veik aðgangsorð.

Þekktum veikleikum fjölgar líka ört. Fjöldi nýrra CVE-númera (staðlaða skráningin á öryggisgöllum) var 48.151 árið 2025. Í lok október var talan fyrir 2026 komin yfir 88.000, og árið ekki búið. Innan við einn af hverjum hundrað endar þó á KEV-lista CISA yfir veikleika sem vitað er að eru nýttir í árásum, og að finna þennan eina innan um hina 99 nógu hratt er ekki lengur verk sem hægt er að vinna handvirkt.

Fjórir dagar frá tilkynningu til innbrots

Þann 27. ágúst 2026 tilkynnti PaperCut, sem framleiðir prentumsjónarkerfi, um tvo alvarlega veikleika og gaf út öryggisuppfærslu sama dag. Einhverjir voru reyndar þegar farnir að nýta gallana áður en uppfærslan kom, en árásaraðilinn sem GreyNoise fylgdist með fór aðra leið: hann lét gervigreind bera saman gömlu og nýju útgáfuna, lesa út úr muninum hvað hafði verið lagað og smíða árásarkóða út frá því. Umgjörðin var Codex frá OpenAI, líkanið undir var DeepSeek. Uppfærslan sjálf var sem sagt uppskriftin.

Fjórum dögum eftir tilkynninguna, 31. ágúst, braust hann inn í fyrsta sinn. Daginn eftir setti hann hundruð sjálfvirkra gervigreindarforrita (e. AI agents) í gang, og þegar GreyNoise taldi saman hafði verið brotist inn hjá að minnsta kosti 395 fyrirtækjum og stofnunum í 48 löndum.

Kapphlaupið byrjaði samt löngu fyrir gervigreindina. Mandiant hefur mælt meðaltímann frá því að öryggisuppfærsla kemur út þar til veikleikinn er nýttur: 63 dagar árin 2018 og 2019, fimm dagar árið 2023, og fyrir 2025 er matið komið niður fyrir núll. Veikleikar voru þá að jafnaði nýttir um viku áður en uppfærslan kom út. Zero-day veikleikar draga það meðaltal niður, enda eru þeir nýttir áður en nokkur uppfærsla er til; fyrir hina, sem uppfærsla er til fyrir, er glugginn oft mældur í dögum. Gervigreindin gerir þetta fyrst og fremst ódýrara: áður þurfti sérfræðing til að lesa út úr uppfærslu hvað hafði verið lagað, nú dugar að hafa nógu mörg forrit í gangi í einu.

43 dagar á móti fjórum

Í árlegri gagnalekaskýrslu Verizon (Data Breach Investigations Report) fyrir 2026 er nýting veikleika í fyrsta sinn orðin algengasta leiðin inn hjá þeim sem lenda í gagnaleka, 31% tilvika. Verizon skoðaði líka hvernig rúmlega 13.000 fyrirtækjum gekk að loka veikleikum af KEV-listanum. Aðeins 26% veikleikanna höfðu verið lagaðir að fullu, og miðgildi tímans sem það tók var 43 dagar, svo helmingurinn tók lengri tíma en það.

PaperCut er að vísu prentkerfi, en sama aðferð virkar á allar öryggisuppfærslur, líka þær sem koma út fyrir beina, eldveggi og netskipta. Netbúnaðurinn er svo yfirleitt sá hluti sem situr lengst óuppfærður, einmitt af því að hann bara virkar. Ég hef tekið þátt í úttektum hjá fyrirtækjum þar sem hágæða búnaður hafði setið án uppfærslna í næstum áratug. Það eina sem bjargaði málunum var að venjulegir notendur komust ekki að stjórnviðmóti búnaðarins.

Að treysta á slíkt núna er að freista gæfunnar. Í byrjun nóvember sagði OpenAI frá tilraun þar sem gervigreind fann 948 veikleika í Linux-kjarnanum í einni keyrslu. Hver þeirra gerir réttindalausum notanda á vélinni kleift að ná fullri stjórn á henni, og gervigreindin skrifaði tillögu að lagfæringu við hvern og einn. Linux-kjarninn er undirstaðan í stórum hluta netbúnaðar frá mörgum framleiðendum, og lagfæringarnar ná ekki til tækjanna fyrr en framleiðandinn gefur út uppfærslu og einhver setur hana upp.

Fjörutíu og þrír dagar hjá dæmigerðu fyrirtæki, fjórir hjá árásaraðilanum í PaperCut-málinu. Það bil brúar enginn með yfirvinnu eða betri gátlista, og þess vegna þarf að taka handavinnuna út úr ferlinu.

Uppfærslur sem ganga sjálfkrafa, í áföngum

Ástæðan fyrir því að netbúnaður situr óuppfærður er sjaldnast leti, heldur ótti við að uppfærsla slái út starfsstöð þar sem enginn er til að laga hana. Í HPE Juniper Mist er uppfærsla eitthvað sem maður stillir einu sinni og lætur svo vera. Aðgangspunktar uppfæra sig sjálfir í glugga sem er valinn fyrirfram. Netskiptar og beinar á öllum starfsstöðvum eru uppfærðir í tímasettum lotum úr sama viðmóti, og netskiptana má taka í áföngum: fyrst lítill prófunarhópur, og ef of mörg tæki í honum detta út stöðvast afgangurinn af lotunni sjálfkrafa. Versta tilfellið er þá einn prófunarhópur, ekki allt netið.

Viðhaldsglugginn sér um venjulegu uppfærslurnar. Þegar neyðaruppfærsla kemur út þarf ekki að bíða eftir honum: allan búnaðinn má þá uppfæra í einni aðgerð, úr sama viðmóti.

Sama kerfi sér um rútínuna þess á milli. Marvis, gervigreindin í Mist, lagar algengar bilanir sjálfkrafa, endurræsir til dæmis port á netskipti sem er frosið, og þráðlausa netið forðast af sjálfu sér rásir sem ratsjá truflar ítrekað. Hvað kerfið má gera án þess að spyrja er stillt fyrir hverja tegund aðgerðar, og allt sem það gerir upp á eigin spýtur er skráð og merkt sem slíkt.

Prófað á Ísafirði, séð í Reykjavík

Næturuppfærsla er lítils virði ef enginn veit fyrr en klukkan átta hvort hún braut eitthvað. Skólar, heilsugæslustöðvar, fiskvinnslur og bæjarskrifstofur hringinn í kringum landið eiga það sameiginlegt að þar er enginn úr tölvudeildinni á staðnum. Marvis Minis nota aðgangspunktana og nýrri netskiptana sem eru þar hvort eð er til að herma eftir venjulegum notanda. Á klukkutíma fresti athuga þeir hvort tæki fái IP-tölu, hvort nafnauppflettingar virki, hvort auðkenningarþjónninn svari og hvort forritin opnist. Ef próf mistekst á Ísafirði berst viðvörun til Reykjavíkur, oft áður en nokkur á staðnum tekur eftir neinu. Og innan klukkutíma frá uppfærslum næturinnar sýna sömu prófanir hvort allt virki enn.

Þegar hægt er að spyrja netið beint

Þegar næsti alvarlegi veikleiki kemur upp er fyrsta spurningin alltaf sú sama: hvaða staðir keyra enn gölluðu útgáfuna? HPE hefur sjálft gefið út MCP-þjón fyrir Mist. MCP er opinn samskiptastaðall sem gervigreindaraðstoðarmenn nota til að tengjast öðrum kerfum. Gervigreindin sem fyrirtækið notar nú þegar, hvort sem það er Claude, ChatGPT, Copilot eða eitthvað heimasmíðað, getur þannig spurt netið beint, um útgáfur eða um fjarfundinn sem hikstar hjá fjármálastjóranum.

Þjónninn er með lesaðgang eingöngu og tekur aðeins við lykli sem veitir ekkert annað, svo gervigreindin getur skoðað netið en ekki breytt neinu. Lesaðgangur að neti er samt aðgangur að gögnum um fólkið sem notar það, svo: lágmarksréttindi, og bara þjónustur sem fyrirtækið hefur samþykkt.

Netið getur séð um sig sjálft

Öryggismálin í meðalstóru fyrirtæki eru alveg nógu stórt verkefni: auðkenni og aðgangsstýring, útstöðvar, skýjaþjónustur, birgjar, gögnin sjálf, GDPR og kröfur sem herðast með NIS2. Netbúnaðurinn er sá hluti sem getur að mestu séð um sig sjálfur, uppfært sig, prófað sig og sagt frá því sem hann sér, og þá losnar fólk í öll hin verkefnin.

Það er freistandi að láta búnað sem „virkar“ í friði, og við höfum öll gert það. Það var stundum skynsamlegt meðan árásaraðilar voru að jafnaði tvo mánuði að nýta sér nýjan veikleika. Nú tekur það þá fáeina daga, og biðin sjálf er orðin miklu meiri áhætta en áður.

Þrennt sem hægt er að byrja á:

1. Setja allan netbúnað á fasta uppfærsluáætlun, með tímaglugga og prófunarhópi, og geta sent neyðaruppfærslu á hann allan í einni aðgerð.
2. Láta hverja starfsstöð prófa sig sjálfa, líka þar sem enginn er á vakt.
3. Vita á hverjum tíma hvaða búnaður og hvaða hugbúnaðarútgáfur eru í gangi í umhverfinu, án þess að þurfa að fara í ratleik fyrst.

Hafðu samband til að fá stöðumat: hvar hugbúnaðurinn í netbúnaðinum hjá ykkur stendur í dag, hvaða staðir prófa sig sjálfir og hvað ykkar eigin gervigreind gæti séð með lesaðgangi.