CERT-SE:s veckobrev v.43

I veckans brev kan du läsa om de två kritiska sårbarheterna i programmeringsspråket PHP, som används av en mängd webbplatser över hela världen. CERT-SE gick ut med ett blixtmeddelande om detta på onsdagen. Du hittar även en rapport från bland annat CISA om utpressningsaktören Safepay.

CERT-SE:s veckobrev innehåller som vanligt även ett urval av nyheter, rapporter och analyser inom cyberssäkerhetssfären från veckan som har gått.

Trevlig helg önskar CERT-SE, nationell CSIRT vid NCSC!

Nyheter i veckan

Emudhra, ett indiskt digitalt säkerhetsföretag, kommer att dra tillbaka sin globala verksamhet för utfärdande av SSL/TLS-certifikat. Beslutet kommer efter rapporter om att åtta av verksamhetens nycklar komprometterats i samband med en kryptografisk defekt i certifikatsgenereringsprocessen.
(The Hacker News, 23/10)
https://thehackernews.com/2026/10/emudhra-to-exit-global-ssltls-business.html …
(Unit42, 22/10)
https://unit42.paloaltonetworks.com/emudhra-certificate-compromise/ …
(Reuters, 22/10)
https://www.reuters.com/legal/litigation/indian-firm-emudhra-exits-global-digital-certificates-business-after-2026-10-22/

Hundratals webbplatser har stängts ned till följd av två kritiska sårbarheter i programmeringsspråket PHP, som används av en omfattande mängd webbplatser över hela världen. Bland annat stängde flera verksamheter inom offentlig sektor, samt större organisationer, ned sina webbplatser till följd av sårbarheterna. För mer information om sårbarheterna och rekommenderade åtgärder, se CERT-SE:s artikel nedan.
(The Record, 21/10)
https://therecord.media/php-script-vulnerabilities-warnings …
(SVT, 21/10)
https://www.svt.se/nyheter/inrikes/miljontals-sajter-riskerar-att-drabbas-av-sakerhetshal

Open AI uppger att två av företagets AI-agenter har försvagat delar av ett övervakningssystem som syftade till att upptäcka avvikande beteende. Enligt Open AI inträffade händelsen i samband med interna arbetsuppgifter och bedöms inte som allvarlig. Händelsen uppges vara det senaste kända fallet där AI-agenter agerat utanför dess planerade syfte, rapporterar Reuters.
(Reuters, 21/10)
https://www.reuters.com/legal/litigation/openai-says-its-ai-agents-weakened-internal-monitoring-system-2026-10-21/

USA förbjuder landets civila myndigheter att använda den kinesiska AI-modellen Deepseek. Förutom att kinesiska myndigheter kan få tillgång till känsliga uppgifter, bedömer regeringen att det finns risk för sårbarheter i cybersäkerheten. Förbudet omfattar även tredjepartsprodukter och tjänster med kopplingar till AI-modellen.
(Computer Sweden, 20/10)
https://www.computersweden.se/article/4237641/kinesiska-deepseek-forbjuds-pa-amerikanska-myndigheter.html

ConnectWise stängde under veckan ned kundåtkomsten till företagets backup-tjänst efter att angripare tillskansat sig åtkomst till applikationsidentiteter och komprometterat Microsoft 365-klientorganisationer, även kallat “tenants”.
(Bleeping Computer, 17/10)
https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/

Rapporter och analyser

CISA har tillsammans med FBI och brottsbekämpande myndigheter i Tyskland och Storbritannien publicerat en rapport om utpressningsaktören Safepay. Enligt rapporten har utpressningsaktören varit särskilt aktiv sedan augusti 2024, och riktat in sig på företag och kritisk infrastruktur i bland annat Europa. Typiska tillvägagångssätt för att skapa initial åtkomst har varit att stjäla eller gissa lösenord och utnyttjande sårbarheter, enligt rapporten som även innehåller rekommendationer kring säkerhetshöjande åtgärder.
(CISA, 20/10)
https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a

Symantec har publicerat en rapport om hotaktören APT28, som enligt rapporten har angripit ett flertal företag inom försvarssektorn i två Nato-länder. Rapporten beskriver bland annat hotaktörens angreppskedja i samband med ett av angreppen, där ett infekterat Word-dokument bedöms vara den intiala åtkomstvektorn.
(Symantec, 20/10)
https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets

Mandiant och Google Threat Intelligence (GTI) har publicerat ett blogginlägg om hur hotaktören Armory Castle utnyttjat den kritiska sårbarheten CVE-2026-102764 i Beyond Trust. Enligt Mandiant och GTI har hotaktören, genom att utnyttja sårbarheten, eskalerat privilegier och etablerat ihållande åtkomst till komprometterade Beyond Trust Remote Support applikationer.
(GTI, 15/10)
https://cloud.google.com/blog/topics/threat-intelligence/armory-castle-exploits-beyondtrust

Övrigt

John Billow, chef för NCSC, medverkade i onsdagens Studio Ett P1 gällande de kritiska sårbarheterna i PHP.
(Sveriges Radio, 21/10)
https://www.sverigesradio.se/avsnitt/akut-sakerhetsbrist-hotar-miljontals-sajter-putin-har-gatt-med-pa-trepartssamtal-prins-harry-vill-forsonas-med-familjen#56

Från CERT-SE och NCSC

CERT-SE har publicerat information om en kritisk sårbarhet i GitLab CE och EE. Sårbarheten, CVE-2026-110264, har fått en CVSS-klassning på 10.0 och kan utnyttjas av en oautentiserad användare för att köra godtycklig kod.
(CERT-SE, 22/10)
https://www.cert.se/2026/10/Kritisk-s%C3%A5rbarhet-i-GitLab-CE-och-EE.html

CERT-SE har publicerat information om två kritiska sårbarheter i PHP. Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, har fått en CVSS-klassning på 9.2. Ett framgångsrikt utnyttjande kan innebära att en oautentiserad angripare kan köra skadlig kod.
(CERT-SE, 21/10)
https://www.cert.se/2026/10/kritiska-s%C3%A5rbarheter-i-php.html

CERT-SE har uppdaterat en artikel gällande en kritisk nolldagarssårbarhet i BeyondTrust Remote Support, efter att CISA adderat sårbarheten till KEV-katalogen (Known Exploited Vulnerabilities catalog). Sårbarheten CVE-2026-102764 har fått en CVSS-klassning på 9.3, och kan utnyttjas för att skriva kod till systemet utan autentisering för att på så sätt få kontroll över enheten och sedan ta sig vidare i organisationens system.
(CERT-SE, 19/10)
https://www.cert.se/2026/10/beyondtrust-varnar-for-kritisk-nolldagssarbarhet.html