Saken
Nordmann Elektronikk AS lager NE Gateway 4, en industriell gateway som selges i Sverige, Danmark, Finland og Tyskland gjennom en svensk importør. Tirsdag 13. oktober 2026 kl. 08.40 melder en svensk kunde at innstillingene på flere av gatewayene deres ble endret i løpet av natten, og ingen hos dem har gjort det.
Kl. 11.05 har teamet funnet forespørsler i kundens logger som når administrasjonsgrensesnittet uten innlogging, og de har gjenskapt omgåelsen på fastvare 4.2.1 i laben. Da blir de kjent med forholdet: de er rimelig sikre på at en sårbarhet i produktet utnyttes (når klokken starter). Den tidlige varslingen må være sendt innen onsdag kl. 11.05.
Selskapet har verken etablering eller autorisert representant i EU, så rapporteringsruten etter artikkel 14(7) ender hos importøren: rapporten går til CSIRT-en som er utpekt som koordinator i Sverige. Rutefinneren finner den for alle produkter.
Den tidlige varslingen, felt for felt
Dette er feltene plattformen krever for en aktivt utnyttet sårbarhet (ordlisten til SRP), med det Nordmann Elektronikk fyller inn:
| Felt i SRP | Det de fyller inn |
|---|---|
| Notification type | Actively Exploited Vulnerability |
| Title | Active exploitation of an authentication bypass in NE Gateway 4 |
| Summary | A customer reported unauthorised configuration changes on NE Gateway 4 units on 13 October 2026. Our initial assessment confirms that an authentication bypass in the web management interface is being exploited to change settings without valid credentials. Firmware 4.0 to 4.2.1 is affected. A fix is in progress; until then, users should block access to the management interface from untrusted networks. |
| Manufacturer name | Nordmann Elektronikk AS (fylt inn av plattformen) |
| Member States where product available | Sweden, Denmark, Finland, Germany. Sverige vises som landet til den koordinerende CSIRT-en. |
| Product Name | NE Gateway 4 |
| Product Version | 4.0 to 4.2.1 |
| Date and time when you become aware | 2026-10-13 09:05 UTC |
Tre valgfrie felt er verdt å fylle inn når dere kan:
- Når utnyttelsen begynte: 2026-10-12 22:30 UTC (estimated), fra den første uautoriserte forespørselen i kundens logger. ENISA ber om at anslag merkes som anslag.
- Hvor sensitiv informasjonen er: «The exploitation path is not yet public. Please limit technical details to the CSIRTs concerned until a fix is available.»
- CVE-ID: står tomt. Ingen er tildelt ennå, og ordlisten sier at feltet skal stå tomt framfor å gjette.
Dette holdes utenfor
- Detaljer om utnyttelsen og konseptbevis i kode. ENISA ber om en tittel uten fortrolige tekniske detaljer som ikke trengs for å kjenne igjen saken.
- Kundens navn, og alt annet som identifiserer en person.
- Gjetninger skrevet som fakta. Skriv det dere vet, og merk anslag.
Ett varsel, tre steg
Varslingen etter 72 timer og sluttrapporten er ikke nye innsendinger. De er de neste fanene i samme varsel, som dere kan oppdatere etter hvert som dere vet mer, helt til sluttrapporten er sendt (brukerhåndboken til SRP, avsnitt 4.7). Ett varsel dekker hendelsen, også for et konsern med flere datterselskaper i EU.
- Varsling om sårbarheten, innen fredag 16. oktober kl. 11.05: en generell beskrivelse av sårbarheten og hvordan den utnyttes blir påkrevd, sammen med tiltakene som er gjort, hva brukerne kan gjøre, og hvor sensitiv informasjonen er.
- Sluttrapport, senest 14 dager etter at rettelsen er tilgjengelig: en beskrivelse av sårbarheten med alvorlighet og konsekvenser, sikkerhetsoppdateringen eller andre tiltak, hva brukerne kan gjøre, og det som er kjent om angriperen.
Følg med på telleren. I den nåværende versjonen viser plattformen at varslingen etter 72 timer forfaller 48 timer etter at den tidlige varslingen er sendt, så den kan vises som forsinket for tidlig (SRP FAQ). Fristen i CRA er 72 timer fra dere ble kjent med forholdet.
Gi beskjed til kundene som er berørt også (artikkel 14(8)). Mens hullet er åpent, kan det være en direkte melding til de berørte kundene heller enn et offentlig varsel (Kommisjonens veiledning, punkt 220). Hva hver rapport skal inneholde, står i CRA-håndboken.
Ha dette klart før dere trenger det
- To personer registrert i plattformen, hver med en EU Login-konto og tofaktorautentisering, og selskapet registrert som produsent.
- Rapporteringsruten etter artikkel 14(7), så dere vet hvilken CSIRT som er deres. Den teller alle produktene deres, så det er én CSIRT for selskapet.
- Nøyaktige produktnavn og versjonsintervaller, og EU-landene hvert produkt selges i.
- Et utkast til sammendrag å starte fra, så de første 24 timene går til vurderingen, ikke formuleringene.
