CERT-SE:s veckobrev v.12

I veckobrevet hittar du information om ett flertal sårbarheter, bland annat gällande Microsoft SharePoint och hur en sårbarhet i Cisco FMC nu exploateras. Du finner även nyheter, rapporter och analyser inom cybersäkerhetsområdet från veckan som har gått.

Trevlig helg önskar CERT-SE!

Nyheter i veckan

Amazon Threat Intelligence beskriver hur hotaktören Interlock har utnyttjat sårbarheten CVE-2026-20131 i Cisco Secure Firewall Management Center (FMC) sedan början av januari. Interlock ses främst som en hotaktör inom utpressningsangrepp. Cisco har publicerat säkerhetsuppdateringar för att åtgärda sårbarheten (se även artikeln från CERT-SE längre ned i veckobrevet).
(ComputerSweden, 19/3) https://computersweden.se/article/4147568/ransomwaregang-har-utnyttjat-sarbarhet-i-ciscos-brandvaggar-i-manader.html

Miljontals Iphone-enheter varnas för hackerverktyget DarkSword av säkerhetsexperter. Genom verktyget kan hotaktörer komma åt känslig information på mobiltelefoner när användare besöker infekterade webbplatser. Enligt säkerhetsexperter från Google, Iverify och Lookout, används DarkSword av en rysk hotaktör. Sårbarheterna har åtgärdats av Apple i de senaste IOS-uppdateringarna.
(Computer Sweden, 19/3) https://computersweden.se/article/4147517/miljoner-iphone-sarbara-for-nya-hackarverktyget-darksword.html …
(The Record, 18/3) https://therecord.media/russia-linked-hackers-use-iphone-exploit-ukraine

CISA har utfärdat en varning till amerikanska myndigheter om att sårbarheten CVE-2025-47813 i Wing FTP Server utnyttjas aktivt i angrepp som kan leda till fjärrexekvering av skadlig kod. Systemet används av ett flertal samhällskritiska organisationer i USA.
(Bleeping Computer,16/3) https://www.bleepingcomputer.com/news/security/cisa-flags-wing-ftp-server-flaw-as-actively-exploited-in-attacks

Journalsystemet som används i Region Östergötland var otillgängligt under förmiddagen den 13 mars. Det var i samband med en planerad uppdatering som systemet stängdes ned. Samtliga sjukhus och regional sjukvårdsledning gick upp i stabsläge.
(Sveriges Radio, 13/3). https://www.sverigesradio.se/artikel/driftstorning-i-journalsystemet-sjukhus-och-vardcentraler-paverkas

Rapporter och analyser

En färsk inblick i ransomware-as-a-service (RaaS)-världen ger en del detaljer kring hur hotaktörerna The Gentlemen genomför sina angrepp. Bland annat hur sårbarheter i Fortinet Fortigate VPN utnyttjas och hur säkerhetssystem sätts ur spel för att dölja angrepp och närvaro i system.
(Infosecurity Magazine, 19/3) https://www.infosecurity-magazine.com/news/ransomware-affiliate-gentlemen/

En ny rapport från Bridewell visar att över 90 procent av verksamheter inom kritisk infrastruktur i Storbritannien har råkat ut för någon typ av cyberangrepp under det senaste året. Rapporten visar också att nya regleringar kring cybersäkerhet hamnar allt mer i fokus när det kommer till beslut om investeringar för att öka säkerheten.
(Infosecurity Magazine, 19/3) https://www.infosecurity-magazine.com/news/uk-regulation-drives-cyber/

Säkerhetspolisen har publicerat sin årliga lägesrapport. Rapporten lyfter bland annat fram hur cyberangrepp pågår ständigt mot privata och offentliga aktörer, samt hur teknikutvecklingen inneburit mer lättillgängliga angreppsmetoder och en ökad förmåga hos hotaktörer.
(Säkerhetspolisen, 18/3) https://sakerhetspolisen.se/om-sakerhetspolisen/publikationer/sakerhetspolisens-lagesbilder/sakerhetspolisen-2025-2026/sammanfattning.html

GitGuardian har presenterat sin årliga rapport gällande analys av GitHub och bland annat hur känslig information läcker via plattformen. Rapporten visar på en stark ökning i antalet uppladdad kod i GitHub med stöd av AI-utveckling, men också att AI-modeller för att utveckla kod innebär en dubbelt så hög risk att känslig information läcker via plattformen jämfört med traditionell utveckling.
(HackRead, 17/3) https://hackread.com/gitguardian-reports-an-81-surge-of-ai-service-leaks-as-29m-secrets-hit-public-github/

I en analys från Barracuda presenteras angreppsmetoderna hos den ryska hotaktören APT44, med koppling till den ryska underrättelsetjänsten GRU. Ett exempel som lyfts var det cyberangrepp som riktades mot Ukraina 2015 som resulterade i att cirka 230 000 elkunder förlorade tillgång till el.
(Barracuda, 16/3) https://blog.barracuda.com/2026/03/16/sandworm--russia-s-global-infrastructure-wrecking-crew

Övrigt

Regeringen har hållit en presskonferens om ordning och säkerhet under valåret. Bland budskapen som lyftes fram finns de rekommendationer som CERT-SE och NCSC tagit fram för att stärka förtroendevaldas cybersäkerhet, samt tjänster som CERT-SE erbjuder inom cyberskydd, till exempel ANTS (Automatiska Notfieringar om Tekniska Sårbarheter) som stöd till bland annat politiska partier.
(Regeringen, 18/3) https://www.regeringen.se/pressmeddelanden/2026/03/pressbriefing-om-ordning-och-sakerhet-under-valaret …
(NCSC,18/3) https://www.ncsc.se/sv/aktuellt/cybersakerhet-infor-valen-2026

EU:s ministerråd inför sanktioner mot tre organisationer och två personer som misstänks ligga bakom cyberattacker mot unionens medlemsländer och partners. En av organisationerna, det iranska bolaget Emennet Pasargad, uppges ligga bakom attacken mot den svenska SMS-tjänst som hackades 2024 och påverkade ett större antal EU-medborgare.
(Europeiska Unionen, 16/3) https://www.consilium.europa.eu/en/press/press-releases/2026/03/16/cyber-attacks-against-the-eu-and-its-member-states-council-sanctions-three-entities-and-two-individuals/

Ett flertal stora teknikbolag går samman i ett initiativ för att motverka bedrägerier online. Initiativet har fått namnet ”Online Services Accord Against Scam” och bland företagen bakom finns Google, Microsoft, Meta, Amazon och Open AI.
(Computer Sweden, 16/3) https://computersweden.se/article/4145645/teknikjattar-gar-ihop-for-att-bekampa-natbedragerier.html

Från CERT-SE

CERT-SE informerar om flera sårbarheter i Roundcube Webmail. Ett lyckat angrepp möjliggör för en oautentiserad användare att skriva godtyckliga filer till servern. En annan av sårbarheterna ger en angripare möjlighet att byta lösenord utan att känna till det befintliga.
(CERT-SE, 20/3) https://www.cert.se/2026/03/sarbarheter-i-roundcube-webmail.html

Microsoft har tidigare publicerat information om sårbarheten CVE-2026-20963 som påverkar SharePoint. Sårbarheten är allvarlig och har fått en CVSS v3.1-klassning på 8.8. Vidare har sårbarheten nyligen lagts till i CISA:s Known Exploited Vulnerabilities-katalog (KEV).
(CERT-SE, 19/3) https://www.cert.se/2026/03/allvarlig-sarbarhet-i-microsoft-sharepoint.html

CERT-SE har tidigare publicerat information gällande två kritiska sårbarheter i Cisco Secure Firewall Management Center (FMC) och Cisco Security Cloud Control (SCC) Firewall Management. Artikeln uppdaterades i veckan med information om att en av sårbarheterna (CVE-2026-20131) exploaterats aktivt sedan den 26 januari.
(CERT-SE, 19/3) https://www.cert.se/2026/03/kritiska-sarbarheter-i-cisco-fmc-och-cisco-scc.html

Det är ett vanligt förekommande problem att e-post används för bedrägerier. Bedragare kan använda e-post som ett verktyg för nätfiske och på så sätt försöka skapa sig åtkomst till känslig information. Genom e-post med länkar och bilagor kan bedragare även försöka att sprida skadlig kod för att exempelvis få obehörig tillgång till system. CERT- SE har sammanställt ett antal råd kring säkerhet i e-post.
(CERT-SE, 19/3) https://www.cert.se/2026/03/sakerhet-i-epost.html