Advarsler: nyligt nåbare eller kendt udnyttede

Et nyt højt eller kritisk fund sender allerede sikkerhedsvarslet. Denne advarsel gælder de fund, du allerede har: den fortæller dig, når et af dem ændrer sig på en måde, der bør flytte det op i køen i dag.

Hvad der udløser den

Åbne fund i afhængigheder på et repositorys standardbranch. Fund i pull requests kommer og går med hver pull request og udløser aldrig en advarsel.

Fund i container-images udløser ikke en advarsel her. Deres vurderinger og mærker for kendt udnyttet findes i konsollen, i API’et for fund og i SIEM-hændelserne for fund.

fremforge tjekker hver time. Det første tjek for en organisation registrerer, hvad der allerede er nåbart og opført, og sender intet, så når du slår dette til, bliver din pukkel af gamle fund aldrig sendt på mail.

Hvem der modtager den

Organisationens sikkerhedskontakter: alle nuværende medlemmer, hvis egen notifikationsindstilling Sikkerhedsvarsler er slået til, altså de samme personer, der modtager sikkerhedsvarslet. Hver person kan selv slå den fra i sine notifikationsindstillinger. En, der har forladt organisationen, modtager intet. Botkonti modtager aldrig mail.

Med det samme eller i den daglige oversigt over varsler. En overgang til kendt udnyttet og et fund, der blev nåbart med alvorligheden HIGH eller CRITICAL, sendes med det samme. Et fund, der blev nåbart med alvorligheden MEDIUM eller LOW, kommer i modtagerens daglige oversigt over varsler, som er slået til som standard; en person, der har slået oversigten fra, får det med det samme som hidtil. Revisionshændelsen skrives med det samme i begge tilfælde (se SIEM).

• Ejere får listen: repository, pakke, version, advisory, alvorlighed og hvad der ændrede sig, med links til fundene.
• Medlemmer får kun antallene, fordi sikkerhedskonsollen kun er for ejere.

Mailen er på modtagerens sprog (engelsk, dansk, tysk, fransk, nederlandsk, norsk eller svensk).

Én gang pr. fund og højst hver time

• Én advarsel pr. fund pr. overgang, nogensinde. Et fund, der bliver nåbart, udløser én advarsel. Går dets vurdering tilbage til ikke nåbar og derefter til nåbar igen, udløser det ikke en ny advarsel. Det samme gælder kendt udnyttet. Det gælder pr. person på tværs af begge e-mails: en overgang, der står i din daglige oversigt over varsler, sendes ikke igen, og en, der allerede er sendt med det samme, kommer ikke med i en senere oversigt, uanset hvordan du slår oversigten til eller fra. Slår du oversigten fra, sendes nye punkter med det samme fra da af; punkter, der allerede er lagt til side til oversigten, sendes ikke igen, men de bliver i konsollen og i revisionsloggen.
• Én mail pr. omgang. Alle overgange, der findes i ét tjek, sendes i én mail, kendt udnyttede først og derefter efter alvorlighed. En mail viser op til 20 og siger, hvor mange flere der er.
• Begrænsning pr. organisation. Højst én advarselsmail i timen og højst fire inden for 24 timer. En overgang, der findes ind imellem, venter og kommer med i den næste mail. En, der har ventet 7 dage, sendes ikke længere; den ugentlige oversigt tæller den stadig.

SIEM

Hver overgang skrives også til revisionsloggen og når derfor dine SIEM-endpoints som alle revisionshændelser:

finding_key er den identitet, som SIEM-hændelserne for fund bruger: dep:<repo>:<advisory>:<ecosystem>:<package>@<version>. Revisionshændelser er ikke begrænsede, og de skrives for hver overgang, når den opdages, uanset nogens e-mailindstilling, og uanset om organisationen har slået advarselsmailen fra.

Slå den fra

Advarslen er slået til som standard. En ejer slår den fra, eller til igen, for hele organisationen under Sikkerhed › Rapporter › Notifikationer, som også viser, hvor mange fund der er blevet nåbare eller kendt udnyttede de seneste 7 dage, eller i punktet Advarsler: nyligt nåbare eller kendt udnyttede i opsætningstjeklisten under Sikkerhed › Overblik. Ændringen revideres som code-security.transition_alerts.updated med den tidligere og den nye værdi.

Mens den er slået fra, registreres overgange stadig, så den ugentlige oversigt tæller dem stadig, og hver af dem skrives stadig til revisionsloggen (og når derfor dit SIEM), men intet sendes på mail, hverken med det samme eller i en daglig oversigt over varsler. Slår du den til igen, sendes det, der skete, mens den var slået fra, ikke.

API

GET /_app/api/v1/orgs/{org}/security/transition-alerts (policy:read) returnerer indstillingen og de overgange, der er opdaget siden since, og hvis fund stadig er åbent, de vigtigste først, højst 50 af hver slags. since er en ISO 8601-dato eller -dato og -tid, højst 90 dage tilbage; standard er 7 dage tilbage.

curl -sS -H "Authorization: Bearer $TOKEN" \
  "https://frem.sh/_app/api/v1/orgs/acme/security/transition-alerts?since=2026-10-01"

{
  "enabled": true,
  "since": "2026-10-01T00:00:00.000Z",
  "became_reachable": { "count": 1, "items": [{ "transition": "reachable", "repo": "acme/web", "package": "lodash", "version": "4.17.20", "vulnerability_id": "GHSA-35jh-r3h4-6jhm", "severity": "high", "reason": "…", "sources": [] }] },
  "became_known_exploited": { "count": 0, "items": [] }
}

PUT med {"enabled": false} (policy:write) slår den fra og revideres som konsollens kontakt med via: api.

Se også

• Nåbarhed: vurderingerne.
• Sikkerhedsrettelser: rettelser af kendt udnyttede fund åbnes først.
• Ugentlig oversigt: ugens nyligt nåbare og nyligt kendt udnyttede fund.