Varningar: nyligen nåbara eller kända som utnyttjade
Ett nytt fynd med hög eller kritisk allvarlighetsgrad skickar redan säkerhetsaviseringen. Den här varningen gäller de fynd du redan har: den talar om när ett av dem ändras på ett sätt som bör flytta upp det i kön i dag.
Vad som utlöser den
Öppna beroendefynd på ett repos standard-branch. Fynd i pull requests kommer och går med varje pull request och ger aldrig någon varning.
| Övergång | När |
|---|---|
| Blev nåbart | Fyndets bedömning av nåbarhet var okänd eller inte nåbar (unreachable), och en senare analys fann det nåbart: till exempel en Go-modul vars bedömning var okänd tills en image byggd från commiten lästes. Ett fynd som är nåbart första gången det ses är ett nytt fynd, som säkerhetsaviseringen täcker, så det ger ingen varning här. |
| Blev känt som utnyttjat | Ett av fyndets CVE-id:n (dess eget id, eller ett CVE-alias för dess säkerhetsmeddelande) har listats som utnyttjat i praktiken av ENISA:s EU Vulnerability Database eller CISA:s katalog Known Exploited Vulnerabilities sedan fremforge senast tittade, eller ett nytt fynd var redan listat. Kända utnyttjade ger varning oavsett allvarlighetsgrad. |
Fynd i container-images ger ingen varning här. Deras bedömningar och märken för känd utnyttjning finns i konsolen, i Findings API och i SIEM-händelserna för fynd.
fremforge kontrollerar varje timme. Den första kontrollen för en organisation registrerar vad som redan är nåbart och listat och skickar ingenting, så att slå på funktionen mejlar aldrig ut hela din eftersläpning.
Vem som får den
Organisationens säkerhetskontakter: varje nuvarande medlem vars egen aviseringsinställning Säkerhetsaviseringar är på, samma personer som får säkerhetsaviseringen. Var och en kan stänga av den för sin egen del i sina aviseringsinställningar. Den som har lämnat organisationen får ingenting. Botkonton får aldrig mejl.
Direkt, eller i den dagliga sammanfattningen av varningar. En övergång till känt utnyttjat, och ett fynd som blev nåbart med allvarlighetsgrad HIGH eller CRITICAL, mejlas direkt. Ett fynd som blev nåbart med allvarlighetsgrad MEDIUM eller LOW hamnar i mottagarens dagliga sammanfattning av varningar, som är på som standard; den som har stängt av sammanfattningen får det direkt, som tidigare. Granskningshändelsen skrivs direkt i båda fallen (se SIEM).
- Ägare får listan: repo, paket, version, säkerhetsmeddelande, allvarlighetsgrad och vad som ändrades, med länkar till fynden.
- Medlemmar får bara antalen, eftersom säkerhetskonsolen bara är öppen för ägare.
Mejlet är på mottagarens språk (engelska, danska, tyska, franska, nederländska, norska eller svenska).
En gång per fynd, och högst en gång i timmen
- En varning per fynd och övergång, någonsin. Ett fynd som blir nåbart ger varning en gång. Om bedömningen går tillbaka till inte nåbar och sedan blir nåbar igen ges ingen ny varning. Detsamma gäller känd utnyttjning. Det gäller per person i båda mejlen: en övergång som listats i din dagliga sammanfattning mejlas inte igen, och en som redan mejlats direkt listas inte i en senare sammanfattning, åt vilket håll du än ändrar inställningen för sammanfattningen. Om du stänger av sammanfattningen skickas nya poster direkt från och med då; poster som redan lagts åt sidan för sammanfattningen skickas inte igen, men de finns kvar i konsolen och i granskningsloggen.
- Ett mejl per omgång. Alla övergångar som hittas vid en kontroll skickas i ett mejl, kända utnyttjade först, sedan efter allvarlighetsgrad. Ett mejl listar upp till 20 och anger hur många fler det finns.
- Hastighetsbegränsning per organisation. Högst ett varningsmejl i timmen, och högst fyra på 24 timmar. En övergång som hittas däremellan väntar och kommer med i nästa mejl. En som har väntat i 7 dagar mejlas inte längre; veckosammanfattningen räknar den fortfarande.
SIEM
Varje övergång skrivs också till granskningsloggen, och når därmed dina SIEM-slutpunkter som alla granskningshändelser:
| Åtgärd | Fält |
|---|---|
code-security.finding.became_reachable | alert_id, finding_key, repo, ecosystem, package, version, vulnerability_id, severity, reason (unknown eller unreachable: bedömningen innan) |
code-security.finding.became_known_exploited | samma, reason (listed eller new), cve_ids, sources (euvd, cisa_kev) |
finding_key är den identitet som SIEM-händelserna för fynd använder: dep:<repo>:<advisory>:<ecosystem>:<package>@<version>. Granskningshändelser har ingen hastighetsbegränsning, och de skrivs för varje övergång när den upptäcks, oavsett någons inställning för mejl och oavsett om organisationen har stängt av varningsmejlet.
Stänga av den
Varningen är på som standard. En ägare stänger av den, eller slår på den igen, för hela organisationen under Säkerhet › Rapporter › Aviseringar, som också visar hur många fynd som blev nåbara eller kända som utnyttjade de senaste 7 dagarna, eller via punkten Varningar: nyligen nåbara eller kända som utnyttjade i checklistan för konfiguration under Säkerhet › Översikt. Ändringen granskas som code-security.transition_alerts.updated, med det tidigare och det nya värdet.
Så länge den är avstängd registreras övergångar fortfarande, så veckosammanfattningen räknar dem ändå, och var och en skrivs fortfarande till granskningsloggen (och når därmed ditt SIEM), men inget mejlas, varken direkt eller i en daglig sammanfattning. Om du slår på den igen skickas inte det som hände medan den var avstängd.
API
GET /_app/api/v1/orgs/{org}/security/transition-alerts (policy:read) returnerar inställningen och de övergångar som upptäckts sedan since och vars fynd fortfarande är öppet, de viktigaste först, högst 50 av varje sort. since är ett datum eller en tidpunkt enligt ISO 8601, högst 90 dagar bakåt; standard är 7 dagar bakåt.
curl -sS -H "Authorization: Bearer $TOKEN" \
"https://frem.sh/_app/api/v1/orgs/acme/security/transition-alerts?since=2026-10-01"{
"enabled": true,
"since": "2026-10-01T00:00:00.000Z",
"became_reachable": { "count": 1, "items": [{ "transition": "reachable", "repo": "acme/web", "package": "lodash", "version": "4.17.20", "vulnerability_id": "GHSA-35jh-r3h4-6jhm", "severity": "high", "reason": "…", "sources": [] }] },
"became_known_exploited": { "count": 0, "items": [] }
}PUT med {"enabled": false} (policy:write) stänger av den, och granskas som konsolens inställning med via: api.
Se även
- Nåbarhet: bedömningarna.
- Säkerhetsfixar: fixar för kända utnyttjade sårbarheter öppnas först.
- Veckosammanfattning: veckans nyligen nåbara och nyligen kända utnyttjade fynd.