De fleste sikkerhetssakene i dette nyhetsbrevet handler om ting som skjer direkte med deg: en phishing-melding, et lekket passord, et falskt shoppingnettsted. Denne er annerledes. Hendelsene nedenfor skjedde med utviklere — menneskene som skriver appene og tjenestene du bruker hver dag. Men grunnen til at de hører hjemme her, er enkel: Hvis noen forgifter verktøyene som brukes til å bygge programvare, blir giften ikke værende hos utvikleren. Den følger med produktet.
To ting skjedde nylig som illustrerer dette. Ingen av dem fikk overskrifter slik et stort datainnbrudd ville gjort, fordi ingen av dem er et innbrudd hos deg spesifikt. Begge er angrep på prosessen som produserer programvaren du til slutt installerer, åpner eller logger inn på.
Falske utvidelser forkledd som pålitelige merkevarer
Open VSX er en offentlig markedsplass for utvidelser til kodeeditorer — små tillegg utviklere installerer for å få autokomplettering, linting og integrasjoner for verktøyene de bruker daglig (Visual Studio Code og flere av de åpen kildekode-baserte slektningene henter utvidelser derfra). Mellom 26. juli og 1. august 2026 fant sikkerhetsforskere hos Manifold Security 77 falske utvidelser i registeret. Hver av dem kopierte navnet og navneområdet til en ekte, pålitelig utvidelse, men ble publisert fra en konto som ikke eide originalen — et klassisk forsøk på å utgi seg for å være noen andre, noen ganger kalt navneområdesquatting.
De kaprede navnene var ikke tilfeldige. De lånte identitetene til AMD, LEGO Education, Hyperledger, Azure, Artsy, Salesforces åpen kildekode-prosjekter, et amerikansk føderalt organ og — med en viss mørk ironi — selve utvidelsesmarkedsplassen. Alle de 77 pakkene ringte hjem til ett enkelt domene som var registrert bare 11 dager før den første falske pakken dukket opp, et mønster som tyder på en koordinert, spesiallaget kampanje snarere enn opportunistisk kopiering.
De fleste av de falske utvidelsene gjorde noe beskjedent: De rapporterte i stillhet et vertsnavn tilbake til angriperens server, noe som i seg selv kanskje bare er en sjekk for å se hvem som installerte åtet. Men forskerne fant at omtrent en fjerdedel av de 77 — 19 pakker — gikk lenger. Sekunder etter aktivering samlet de inn vertsnavnet, brukernavnet til operativsystemet, detaljer om editoren og en maskin-ID. Deretter leste de prosjektet utvikleren hadde åpent: git-fjernlageret (som avslører organisasjonen og depotverten), domenet i commit-e-postadressen, den aktuelle greinen og den nyeste commiten. De hentet også verdier for kontinuerlig integrasjon — legitimasjonen og konfigurasjonen som lar automatiserte systemer bygge og distribuere kode uten at et menneske skriver inn et passord hver gang.
Ingen av disse dataene er nyttige for å tømme noens bankkonto. De er nyttige til noe annet: å finne ut hvilke selskaper en utvikler jobber for, hvordan den interne infrastrukturen deres ser ut, og hvordan man kan få fotfeste i den.
En 9,8-av-10-feil i maskinen som bygger programvaren
Den andre hendelsen gjelder TeamCity, en plattform for kontinuerlig integrasjon og kontinuerlig levering (CI/CD) laget av JetBrains. Hvis en kodeeditor er stedet der utviklere skriver programvare, er en CI/CD-plattform det automatiserte fabrikkanlegget der koden kompileres, testes og sendes ut i produksjon — ofte uten at noe menneske klikker på «distribuer» i det hele tatt. TeamCity er en sentral del av dette maskineriet hos mange selskaper.
Et sikkerhetshull registrert som CVE-2026-63077, med en alvorlighetsgrad på 9.8 av maksimalt 10, ble offentliggjort i TeamCitys lokale versjoner. Det er en deserialiseringsfeil — en type feil der et program stoler nok på innkommende data til å gjøre dem direkte om til kjørende kode, uten først å kontrollere hva dataene faktisk er. I praksis lot det en angriper sende en forespørsel til en sårbar TeamCity-server, uten krav om innlogging, og kjøre vilkårlige kommandoer med samme rettigheter som selve TeamCity-tjenesten. JetBrains lanserte oppdateringer (versjonene 2025.11.7 og 2026.1.3, samt en programtilleggsoppdatering for eldre installasjoner fra 2017.1 og nyere), men det amerikanske byrået for cybersikkerhet og infrastruktursikkerhet (CISA) har siden advart om at angripere aktivt utnytter systemer som ikke er oppdatert.
Den som kontrollerer et selskaps byggeserver, kontrollerer hva selskapet sender ut. Det er ikke hypotetisk — det er verktøyets bokstavelige funksjon.
Samme fremgangsmåte, to forskjellige innganger
Dette er urelaterte hendelser fra forskjellige forskere, men de har samme form. Ingen av dem angriper et ferdig produkt. Begge angriper et tidligere trinn — editoren en utvikler skriver kode i, eller serveren som gjør koden om til en utgitt versjon. Det er det som kjennetegner et angrep på programvareforsyningskjeden: I stedet for å bryte seg inn i ett mål, kompromitterer man noe oppstrøms som mange mål er avhengige av, og lar deres egen pålitelige prosess føre tilgangen videre for deg.
Det er verdt å være ærlig om det vi ennå ikke vet. Ingen av rapportene som kom frem denne uken, oppga et bekreftet tilfelle av at en app eller bruker nedstrøms var kompromittert som et direkte resultat — kampanjen med utvidelsene ser ut til å handle om rekognosering og innsamling av tilgang, og TeamCity-utnyttelsen beskrives som aktiv, men uten navngitte ofre. Det er normalt; kompromitteringer i forsyningskjeden oppdages ofte ved inngangspunktet lenge før (eller i stedet for) man sporer den endelige gevinsten.
Hvorfor dette er ditt problem, ikke bare deres
Du kommer sannsynligvis aldri til å installere en kodeutvidelse eller kjøre en CI/CD-server. Men du bruker resultatet fra hundrevis av dem: bankappen din, passordbehandleren din, skoleportalen til barnet ditt, nettleseren du leser dette i. Alt dette har gått gjennom en utviklers editor og et selskaps byggesystem før det nådde telefonen din. Hvis ett av disse leddene i stillhet blir kompromittert, kan den ondsinnede endringen følge med en vanlig, rutinemessig programvareoppdatering — den typen du installerer fordi du har fått beskjed om at oppdatering er det trygge å gjøre.
Dette er også grunnen til at rådene i en rapport etter et datainnbrudd noen ganger virker merkelige for ikke-tekniske lesere: Et selskap sier at systemene deres ble kompromittert via en byggeserver, en stjålet utviklerlegitimasjon eller en ondsinnet avhengighet, og det kan høres abstrakt ut sammenlignet med «noen gjettet passordet mitt». Det er ikke abstrakt. Det er samme utfall — dataene dine eller integriteten til appen din er kompromittert — men det skjedde gjennom en inngang du ikke visste fantes.
Det som faktisk hjelper
Du kan ikke revidere bankens CI/CD-prosess, og det skal du heller ikke måtte. Men noen få vaner reduserer faktisk eksponeringen din for denne typen risiko:
Ha automatiske oppdateringer aktivert, men ikke betrakt oppdateringer som automatisk pålitelige. Oppdateringer er måten rettelser som TeamCity-rettelsen ovenfor når frem til programvaren du kjører på — å holde seg oppdatert lukker vinduer angripere aktivt undersøker. Samtidig er en oppdatering bare så god som prosessen som produserte den, og det er nettopp den som angripes her; det finnes ikke noe perfekt individuelt forsvar mot en virkelig forgiftet oppstrømsutgave, og derfor er dette grunnleggende et leverandøransvarsproblem, ikke et problem for deg.
Hvis du arbeider med eller leder utviklere, er det to konkrete, kontrollerbare ting du bør gjøre: Kontroller at enhver utvidelse til en kodeeditor er installert fra den faktiske bekreftede utgiverkontoen, ikke bare har et samsvarende navn (Open VSX og lignende markedsplasser viser utgiverens identitet — sjekk den, ikke stol på ikonet og tittelen alene); og hvis organisasjonen din kjører TeamCity lokalt, må du bekrefte i dag at den kjører 2025.11.7 eller 2026.1.3, eller at programtilleggsoppdateringen er installert — ikke vent til neste vedlikeholdsvindu. CISA-advarselen betyr at dette utnyttes aktivt, ikke at det bare er teoretisk.
For alle andre er den nyttige endringen ganske enkelt å være oppmerksom: Når du leser om et selskaps datainnbrudd som kan spores tilbake til «et kompromittert utviklerverktøy» eller «et byggesystem», er det ikke en smal teknisk fotnote. Det er samme type hendelse som passordinnbruddene og phishing-svindlene dette nyhetsbrevet oftere dekker — den startet bare ett lag lenger oppstrøms, før produktet i det hele tatt nådde deg.
