Rapporter har kopplat tjänsteföretaget Aon till Termite-utpressningsgruppen, som uppges ha utnyttjat en sårbarhet i Cleos filöverföringsprogramvara. Sårbarheten spåras som CVE-2024-50623. Historien utvecklas fortfarande, och detaljerna spelar roll. Här är en saklig redogörelse för rapporterna om Aon Termite ransomware Cleo CVE-2024-50623, vad som kan sägas med säkerhet, och vad team som hanterar känsliga filer bör göra.

Vad som är bekräftat och vad som bara är påstått

Utgångspunkten är källrapporteringen: rapporter kopplar Aon till Termite-utpressningsaktivitet som utnyttjar Cleos filöverföringssårbarhet CVE-2024-50623. Det är en koppling som gjorts av rapporter, inte ett fynd vi kan verifiera självständigt.

En sammanfattning av ett sökresultat från en tredjepartsanalyswebbplats säger att Aon offentligt rapporterades som ett utpressningsoffer den 7 oktober 2026. Det är en sekundärkällas beskrivning, och vi tillskriver den snarare än antar den som etablerat faktum. Det material som finns tillgängligt för oss innehåller inte ett detaljerat uttalande från Aon, en teknisk analys av hur ett intrång gick till, eller bekräftelse av vilka data, om några, som togs.

Så den försiktiga tolkningen ser ut så här:

  • Etablerat: CVE-2024-50623 är en verklig, dokumenterad sårbarhet i Cleos programvara. Cleo publicerade en säkerhetsrådgivning om den den 10 december 2024.
  • Rapporterat, inte verifierat här: att Aon drabbades av Termite-utpressningsprogramvara och att Cleo-sårbarheten var ingångspunkten.
  • Okänt utifrån det tillgängliga materialet: omfattningen av eventuell dataexponering, huruvida kund- eller medarbetarinformation var inblandad, och tidslinjen för eventuell kompromettering.

Tills företaget eller utredare publicerar mer, behandla tillskrivningen till en specifik grupp och en specifik sårbarhet som ett påstående.

Hur CVE-2024-50623 i Cleos programvara utnyttjades

Enligt Cleos egen rådgivning är CVE-2024-50623 en sårbarhet för obegränsad filuppladdning och filnedladdning som kan leda till fjärrkörning av kod. I vardagliga termer kan en sådan sårbarhet låta en angripare placera filer på en server som borde ha avvisat dem, och sedan köra kod efter eget val på den. En filöverföringsserver sitter ofta i kanten av ett nätverk och innehåller känsliga dokument, så det är en kraftfull fotfäste.

Säkerhetsleverantörer har kopplat sårbarheten till Cleo Harmony, VLTrader och LexiCom. En analys beskriver hur Cl0p-gruppen utnyttjar CVE-2024-50623 och en relaterad sårbarhet, CVE-2024-55956, i dessa produkter. En annan leverantörsrapport från januari 2025 beskriver aktiv exploatering av Cleos programvara i det vilda, och ett separat inlägg noterade att sårbarheterna hotade stora företag.

Den historiken är anledningen till att Aon-rapporterna är anmärkningsvärda. Om Termite nu kopplas till samma sårbarhet, tyder det på att en sårbarhet som var offentligt känd och möjlig att åtgärda har förblivit användbar för mer än en utpressningsoperation. Vi kan inte säga utifrån det tillgängliga materialet huruvida det gäller här, men det är frågan utredare sannolikt kommer att ställa.

Vad organisationer som kör Cleo bör kontrollera nu

Du behöver inte vänta på att Aon-historien ska klarna innan du granskar din egen exponering. Team som använder Cleo Harmony, VLTrader eller LexiCom kan gå igenom en kort lista:

  1. Bekräfta patchstatus. Kontrollera Cleos officiella säkerhetsrådgivning för CVE-2024-50623 och verifiera att dina installerade versioner matchar de åtgärdade versioner som beskrivs där. Gör samma sak för CVE-2024-55956.
  2. Inventera dina instanser. Skugg- eller bortglömda filöverföringsservrar, inklusive testsystem och de som drivs av affärsenheter, är vanliga luckor.
  3. Minska exponeringen. Granska om servern behöver vara nåbar från internet, och begränsa åtkomsten där den inte behöver vara det.
  4. Leta efter tecken på kompromettering. Patchning stänger dörren men avlägsnar inte en inkräktare som redan är inne. Granska loggar, oväntade filer och ovanliga utgående överföringar, och följ vägledningen i leverantörs- och incidenthanteringsrådgivningar.
  5. Fråga dina leverantörer. Om en leverantör eller partner hanterar dina filer via Cleos programvara, fråga dem direkt om patchstatus och huruvida de har bedömt sin exponering.

Varför filöverföringsverktyg fortsätter att locka utpressningsgrupper

Hanterad filöverföringsprogramvara är ett attraktivt mål av en enkel anledning: den koncentrerar värdefulla data på ett ställe och kopplar ofta samman många organisationer samtidigt. En enda svaghet kan ge en angripare tillgång till dokument från många företag, snarare än ett.

Det finns också ett förtroendeproblem. Företag utbyter kontrakt, finansiella register och personuppgifter genom dessa verktyg, ofta med antagandet att leverantörens programvara är härdad. När en sårbarhet hittas är kunderna beroende av att leverantören avslöjar den och av att deras egna team snabbt patchar. Förseningar i något av stegen lämnar ett fönster som kriminella kan använda.

När det gäller integritet är problemet att din information kan finnas i system som du aldrig valde och inte kan se. Arbetsgivare, försäkringsbolag, mäklare och tjänsteleverantörer kan alla köra tredjepartsöverföringsverktyg som rör dina data.

Vad detta innebär för dig

Om du är en individ kan du inte patcha ett företags filöverföringsserver, men du kan begränsa skadan från eventuell tredjepartsexponering. Håll utkik efter officiella intrångsmeddelanden och läs dem noggrant. Var skeptisk till oväntade meddelanden som refererar till dina konton eller din arbetsgivare, eftersom stulna data ofta används för nätfiske. Använd unika lösenord och multifaktorautentisering, och överväg kreditövervakning om ett meddelande säger att finansiella uppgifter eller identitetsuppgifter var inblandade.

En VPN skyddar inte mot den här typen av incident. Den krypterar din egen trafik, men den hindrar inte ett företags server från att komprometteras. Data som lagras hos tredje part beror på hur dessa parter säkrar dem.

Om du hanterar IT eller säkerhet på en organisation är lärdomen mer direkt: filöverföringsprogramvara förtjänar samma patchdisciplin som din brandvägg eller e-postgateway.

Viktiga slutsatser

  • Behandla kopplingen mellan Aon, Termite-utpressningsprogramvara och Cleo som rapporterad, inte bevisad, tills Aon eller utredare tillhandahåller detaljer.
  • CVE-2024-50623 är en dokumenterad Cleo-sårbarhet som Cleo åtgärdade i en rådgivning daterad den 10 december 2024.
  • Om du kör Cleo-produkter, verifiera patchstatus mot den officiella rådgivningen, inventera dina instanser och leta efter tecken på tidigare kompromettering.
  • Om du hanterar känsliga data, fråga leverantörer och partners om deras filöverföringssäkerhet och patchning.
  • övervaka officiella rådgivningar från Cleo och dina egna säkerhetsleverantörer, och uppdatera denna bild i takt med att verifierade detaljer framkommer om Aon Termite ransomware Cleo CVE-2024-50623.