CERT-SE:s veckobrev v.42

I veckans brev bjuder vi bland annat på rekommendationer om cyberfysiska system, insikter om hur cyberkriminella storskaliga nätfiskekampanjer fungerar och en inbjudan till rundabordssamtal med fokus på lärande för att stärka Sveriges cybersäkerhet.

CERT-SE:s veckobrev innehåller som vanligt ett urval av nyheter, analyser och rapporter inom cybersäkerhetssfären från veckan som har gått.

Trevlig helg önskar CERT-SE, nationell CSIRT vid NCSC!

Nyheter i veckan

Palo Alto Networks har släppt säkerhetsuppdateringar för en kritisk zero-day RCE-sårbarhet i PAN-OS. Sårbarheten, CVE-2026-0322, påverkar administrationsgränssnittet. Företaget bekräftar i ett säkerhetsmeddelande att de har observerat begränsat utnyttjande av sårbarheten i angrepp. Uppdateringar har publicerats för versioner av PAN-OS 10.2, 11.1, 11.2, 12.1 och 12.2.
(Palo Alto Networks, 14/10)
https://security.paloaltonetworks.com/CVE-2026-0322/ …
(Bleeping Computer, 14/10)
https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/

Microsoft slår nytt rekord under oktober månads Patchtisdag med uppdateringar för över 1 400 säkerhetsbrister, varav en exploateras aktivt och två är nolldagssårbarheter. De kritiska sårbarheterna uppgår till 70, varav 57 handlar om fjärrstyrd kodkörning, 11 om eskalering av privilegier och två om spoofing.
(Bleeping Computer, 13/10)
https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/

I Frankrike har hundratals matbutiker utsatts för ett cyberangrepp, där kylsystem kopplade till den danska tillverkaren Danfoss påverkats. Temperaturen i kylsystem har höjts på distans med uppåt 50 grader, vilket lett till att kylkedjan har brutits. Stora mängder livsmedel har förstörts, till en kostnad av flera miljoner euro. Även den nederländska livsmedelskedjan Ahold Delhaize, som har matbutiker i flera europeiska länder, har drabbats av en cybersäkerhetsincident och tvingats stänga ner sina system. För närvarande finns det inget känt samband mellan incidenterna.
(HackRead, 12/10)
https://hackread.com/hackers-heat-supermarket-fridges-50c-france-cyberattack/ …
(Bleeping Computer, 12/10)
https://www.bleepingcomputer.com/news/security/retail-giant-ahold-delhaize-takes-systems-offline-after-cyberattack/

Rapporter och analyser

Microsoft har stoppat ett kinesiskspråkigt cyberkriminellt ekosystem som bland annat används för försäljning av storskaliga nätfiskekampanjer via YAM Store. Genom denna underjordiska marknadsplats har en miljard skadliga meddelanden skickats till drygt 75 000 organisationer runt om i världen. Här delar Microsoft sin analys av nätfisketjänstens tekniska aspekter, infrastruktur, system för provision och hur hotaktörer använder verktygen.
(Microsoft 14/10)
https://www.microsoft.com/en-us/security/blog/2026/10/14/the-hidden-network-inside-the-phishing-infrastructure-ecosystem-powering-global-cybercrime/ …
(Computer Sweden, 15/10)
https://computersweden.se/article/4235734/microsoft-satter-stopp-for-gigantisk-natfisketjanst.html

Luxembourgs nationella cybersäkerhetscenter (CIRCL) har publicerat rekommendationer för att säkra organisationers cyberfysiska system, såsom industriella styrenheter, SCADA-komponenter och sensorer. CIRCL rekommenderar bland annat att dessa system aldrig bör vara exponerade mot internet. Detta eftersom angripare, med hjälp av publika sökmotorer, kan identifiera exponerade tjänster samt utnyttja kända eller okända sårbarheter för initial åtkomst.
(CIRCL, 14/10)
https://circl.lu/pub/tr-101/

Anthropic varnar för att små AI-modeller snart kommer att kunna sprida sig till konsumenters IoT-enheter. På så vis kan de skapa distribuerade botnät som kan öka sin beräkningskapacitet utan att vara beroende av datacenter. Hittills har man inte observerat någon fullt autonom replikerande entitet, men Anthropic bedömer att mindre modeller kan bli självreplikerande innan årets slut om utvecklingen fortsätter i samma takt som tidigare.
(Anthropic, 12/10)
https://www.anthropic.com/research/self-replicating-ai …
(Bleeping Computer, 13/10)
https://www.bleepingcomputer.com/news/security/anthropic-warns-self-replicating-ai-could-spread-to-your-smart-devices/

Forskare från internetanalysföretaget Modat har kartlagt sol- och vindkraftsparker i 40 EU-länder, och identifierat 8 547 förvaltningsgränssnitt och kontrollpaneler i 35 länder som är tillgängliga via offentliga internetanslutningar, vilket gör dem sårbara för cyberangrepp.
(Modat 6/10)
https://modat.io/blog/to-see-the-wind-and-the-sun/ …
(CyberNews 12/10)
https://cybernews.com/news/european-wind-solar-systems-exposed-cyberattacks/

Övrigt

En kartläggning som Sveriges Television gjort visar att industriella styrsystem som är exponerade mot internet ofta saknar grundläggande skydd. John Billow, chef för NCSC, bekräftar bilden och uppmanar organisationer att säkra sina system. Exponerade system utgör en måltavla för såväl kriminella som för grupper som vill störa svensk infrastruktur.
(SVT, 12/10)
https://www.svt.se/nyheter/lokalt/orebro/samhallsviktiga-styrsystem-ligger-oppna-pa-internet …
https://www.svt.se/nyheter/lokalt/orebro/nationellt-cybersakerhetscenter-vi-delar-bilden

Allt fler kommuner utsätts för cyberangrepp, bland annat till följd av den snabba AI-utvecklingen. Svedala kommun drabbades förra veckan och tvingades stänga ner sina it-system. NCSC:s chef John Billow berättar i Sveriges Radio att offentliga aktörer är överrepresenterade bland anmälda incidenter.
(Sveriges Radio, 11/10)
https://www.sverigesradio.se/artikel/vanligare-med-it-attacker-mot-kommuner-i-sverige

Traffikljusprotokollet (TLP) är en vedertagen standard för att dela hotinformation på cybersäkerhetsområdet. Samtidigt ska organisationer, som en del av det systematiska informationssäkerhetsarbetet, klassa sina informationstillgångar utifrån vilka konsekvenser ett otillräckligt skydd för informationens konfidentialitet, riktighet och tillgänglighet kan få. Men behövs verkligen två olika modeller? Det diskuteras i ett blogginlägg på Internet Storm Center.
(Internet Storm Center, 10/10)
https://isc.sans.edu/diary/Why+TLP+should+not+replace+your+internal+information+classification/33414/

Från CERT-SE

GitLab har publicerat säkerhetsuppdateringar för flera sårbarheter i GitLab CE och EE. Sårbarheten CVE-2026-97229 har fått en CVSS-klassning på 10.0. Framgångsrikt utnyttjande av denna sårbarhet innebär att en oautentiserad användare kan köra godtycklig kod på servern via ett särskilt utformat reguljärt uttryck i en CI/CD-konfiguration. CERT-SE rekommenderar att skyndsamt installera säkerhetsuppdateringarna om möjligt, särskilt om produkten exponeras publikt.
(CERT-SE, 13/10)
https://www.cert.se/2026/10/gitlab-rattar-kritisk-sarbarhet.html

Under sex månader har myndigheter, näringsliv, forskning och försvar samverkat i ett gemensamt projekt för att stärka samhällets förmåga att möta AI-drivna cyberhot och snabbt mobilisera rätt kompetens när ett nytt teknikdrivet hot uppstår. Nu är finansieringen för nästa fas i arbetet säkrad. Läs mer om projektet på ncsc.se.
(NCSC-SE, 11/10)
https://www.ncsc.se/sv/aktuellt/snabb-mobilisering-mot-ai-drivna-cyberhot/

Hur stärker vi Sveriges cybersäkerhet genom innovation, samverkan och konkreta lösningar? Det är temat för nästa veckas rundabordssamtal som NCSC står värd för. Ett gyllene tillfälle för små och medelstora företag som är intresserade av finansiering för att bygga kapacitet inom cybersäkerhet.
(NCSC, 29/9)
https://www.ncc-se.se/sv/evenemang/rundabordssamtal-fran-ide-till-effekt--erfarenheter-och-resultat-fran-fstp-2025-22-oktober-2026/?epslanguage=sv