Dygnsrapport fredag 4 september 2026 kl. 02.00

dygnssammanställning 02.00 den 3 september – 02.00 den 4 september 2026

Fönstret 02.00 den 3 september till 02.00 den 4 september 2026 hade två tyngdpunkter. Den ena är teknisk: CISA lade den 2 september in sju aktivt utnyttjade sårbarheter i sin katalog med åtgärdsfrist 5 september, och tre av dem – SonicWalls fjärråtkomstprodukt SMA1000, JFrog Artifactory och WordPress-tillägget Elementor Pro – sitter i produkter som svenska kommuner, regioner och myndigheter använder eller köper som tjänst. Den andra är hotbilden mot Ukrainastödet: Nationella säkerhetsrådet hade extrainsatt möte efter drönaren med sprängämnen i Leipzig, Must:s chef Thomas Nilsson uppger ett högt hot mot Sveriges Ukrainastöd som även omfattar privata företag, och Danmarks PET varnar för konkreta ryska sabotageförberedelser mot dansk försvarsindustri. I Sverige gav dygnet dessutom ett strömavbrott som stoppade tunnelbanans blå linje, en vattenläcka i Örebro, ett låst stadshus i Ronneby efter en hotfull incident och hot mot fyra utbildningsenheter i Katrineholm.

Nyckeltal: 47 händelser, varav 5 akuta (N4) och 21 förhöjda (N3). 16 av 16 bevakade verksamheter berörs.

Händelser

1. SonicWall bekräftar aktivt utnyttjade brister i fjärråtkomstprodukten SMA1000 – CISA satte åtgärdsfrist 5 september

Klassning: A1 · K3 · N4 · tekniskt beroende

SonicWall uppger att företagets incidentgrupp PSIRT har utrett ett fall som visar aktivt utnyttjande av två brister i SMA1000. CVE-2026-83548 är en förautentiserad SSRF-brist i gränssnittet Appliance WorkPlace med CVSS 10,0, och CVE-2026-83549 är en kommandoinjektion i Appliance Management Console med CVSS 7,8 som kräver administratörsbehörighet. Enligt SonicWall kan de kedjas till fjärrkörning av kod utan inloggning, och berörda modeller är 6210, 7210 och 8200v i både fysisk och virtuell form; SSL-VPN på SonicWalls brandväggar och serien SMA 100 berörs inte. CISA lade in båda i katalogen över aktivt utnyttjade sårbarheter den 2 september 2026 med åtgärdsfrist 5 september 2026 för amerikanska federala myndigheter, och Shadowserver spårar enligt BleepingComputer över 400 SMA1000-enheter som är nåbara från internet.

Status: Rapporterad i passen 3 september. Nytt sedan dess: CISA:s åtgärdsfrist 5 september 2026 löper ut inom två dygn och SonicWall har fortfarande inte offentliggjort indikatorer på intrång. Kontrollera nästa pass om SonicWall publicerar en IOC-lista och om NCSC eller CERT-SE går ut med en egen rekommendation.

Källa: BleepingComputer, med SonicWalls rådgivning och CISA:s KEV-katalog som underlag – publicerad 2 september 2026 kl. 02.39, återgiven i fönstret genom CISA:s KEV-post 2 september och Traficoms bevakning 3 september 2026 kl. 04.00
https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-actively-exploited-sma1000-zero-day-flaws/

• Elektroniska kommunikationer och post – SMA1000 är en fjärråtkomstprodukt som kommuner, regioner och myndigheter använder för att släppa in personal och entreprenörer i interna nät. En angripare som kedjar de två bristerna kan köra kod utan inloggning på själva åtkomstpunkten och därmed nå det som ligger bakom den. Enheten står i regel exponerad mot internet, vilket gör att bristen kan utnyttjas utan fotfäste i nätet.
• Ordning och säkerhet – Ett intrång via fjärråtkomstlösningen ger en väg in i verksamhetens skyddade nät och kan bli ett säkerhetsskyddsärende hos verksamheter med säkerhetsklassad information. Ett bekräftat intrång i en sådan produkt är en betydande incident som ska rapporteras till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen enligt cybersäkerhetslagen (2025:1506). SonicWall rekommenderar att enheter med indikatorer på intrång avbildas på nytt, att alla lösenord byts och att TOTP-token återställs. Inventering av internetexponerade fjärråtkomstenheter och en fastställd rutin för brådskande uppdatering hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

2. Autentiseringsbypass i JFrog Artifactory utnyttjas för att skapa administratörstokens

Klassning: B1 · K2 · N4 · leverantörsberoende

Angripare utnyttjar sedan 1 september 2026 CVE-2026-82329 i JFrog Artifactory för att skapa administratörstokens och kartlägga miljöer, uppger watchTowr genom Yordan Ganchev, principal threat intelligence specialist, efter träffar mot företagets honungsfällor. Bristen har CVSS 9,8, ligger i komponenten JFrog Access och gör det möjligt för en angripare med nätverksåtkomst men utan inloggning att få administratörsbehörighet i standardkonfiguration. Berörda versioner är 7.161.0–7.161.19, 7.146.0–7.146.36, 7.133.0–7.133.28, 7.125.0–7.125.19, 7.117.0–7.117.27 och 7.111.4–7.111.21, och JFrog åtgärdade bristen i 7.161.20 som släpptes 28 augusti 2026. Enligt watchTowr har den observerade aktiviteten omfattat uppräkning av användare, grupper, autentiseringsuppgifter, tokens och federerade åtkomsttopologier, och i enskilda fall skapades bakdörrsanvändare. Horizon3.ai och watchTowr har rapporterat samma utnyttjande till CISA, som lade in bristen i KEV-katalogen den 2 september 2026.

Status: Rapporterad tidigare under dygnet. Nytt: SOCRadar publicerade 3 september 2026 kl. 14.22 en egen genomgång av utnyttjandet. Kontrollera nästa pass om utnyttjandet breddas från ett litet antal ip-adresser till massutnyttjande.

Källa: The Hacker News, med watchTowr och Horizon3.ai som underlag – publicerad 1 september 2026, klockslag anges ej av källan; utnyttjandet bekräftat i KEV-katalogen 2 september och återgivet av Traficom och SOCRadar 3 september 2026
https://thehackernews.com/2026/09/attackers-exploit-critical-jfrog.html

• Industri, byggande och handel – Artifactory är ett artefaktregister i mjukvaruleveranskedjan. En angripare med administratörsbehörighet kan lägga in en manipulerad artefakt som sedan hämtas av verksamhetens egna byggflöden, vilket gör bristen till ett angrepp i leveranskedjan snarare än en isolerad serverbrist. Verksamheter som utvecklar egna system eller köper utveckling av en leverantör med självdriftad Artifactory berörs genom leverantören.
• Elektroniska kommunikationer och post – De skapade tokens och de kartlagda federerade åtkomstkopplingarna kan användas vidare mot anslutna identitetstjänster och molnmiljöer. JFrog rekommenderar omedelbar uppdatering av internetnåbara installationer, granskning av granskningsloggar, byte av exponerade autentiseringsuppgifter och kontroll av anslutna system efter bakdörrar. Ursprungsvalidering av artefakter och kontroll över vem som får administrera registret ligger i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

3. Kritisk brist i Elementor Pro utnyttjas för att ta över WordPress-webbplatser

Klassning: B1 · K2 · N4 · tekniskt beroende

CVE-2026-32475 i WordPress-tillägget Elementor Pro utnyttjas i angrepp som lägger in ett webbskal och kör godtyckliga kommandon på servern, uppger BleepingComputer med Defiants Wordfence som underlag. Bristen är en filuppladdning utan begränsning i formulärmodulens uppladdningsfält, den träffar Elementor Pro till och med version 4.2.1, och den kan utnyttjas utan inloggning och utan användarinteraktion. Enligt uppgifterna åtgärdades bristen 19 augusti 2026 i version 4.2.2, och angreppen har observerats efter det.

Källa: BleepingComputer, med Defiant/Wordfence som underlag – publicerad 3 september 2026 kl. 16.52
https://www.bleepingcomputer.com/news/security/critical-elementor-pro-flaw-exploited-to-take-over-wordpress-sites/

• Demokrati och beredskap – Kommuner, regioner och myndigheter publicerar nyheter och samhällsinformation på WordPress, och Elementor Pro är ett av de vanligaste sidbyggartilläggen. Ett webbskal på webbplatsen ger angriparen möjlighet att ändra publicerad information, lägga in vidarekopplingar eller använda servern som fotfäste, vilket direkt träffar funktionen nyheter och samhällsinformation. Under en valrörelse är förvanskad information på en kommunal webbplats en förtroendefråga och inte bara ett driftproblem.
• Elektroniska kommunikationer och post – Webbplatsen står ofta hos en webbyrå eller en driftleverantör, inte hos verksamheten själv. Bristen ska därför följas upp mot leverantören med frågan vilken version av Elementor Pro som körs och när uppdateringen till 4.2.2 eller senare gjordes. Att veta vilka tillägg som körs och vem som ansvarar för att uppdatera dem hör till NCSC:s samlade stöd för cybersäkerhet i kommuner (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).

4. CISA lade in sju aktivt utnyttjade sårbarheter i KEV-katalogen med åtgärdsfrist 5 september

Klassning: A1 · K3 · N4 · tekniskt beroende

CISA lade den 2 september 2026 in sju sårbarheter i katalogen över kända utnyttjade sårbarheter och satte 5 september 2026 som åtgärdsfrist för amerikanska federala myndigheter, rapporterar The Hacker News. Utöver SonicWall-bristerna och JFrog Artifactory ingår CVE-2026-9586 i Sangoma Switchvox med CVSS 9,3, en sql-injektion som enligt Horizon3.ai och watchTowr har utnyttjats för att lägga ut omvända skal, och CVE-2026-48710 i Kludex Starlette med CVSS 6,5. Enligt uppgifterna har angripare i flera av fallen kombinerat utnyttjandet med kryptoutvinnare.

Källa: The Hacker News, med CISA:s KEV-katalog, Horizon3.ai och watchTowr som underlag – publicerad 3 september 2026 kl. 07.19
https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html

• Elektroniska kommunikationer och post – Switchvox är en telefoniplattform. En sql-injektion utan inloggning som ger omvänt skal gör telefonisystemet till en ingång i verksamhetens nät, och samtidigt kan telefonifunktionen slås ut. Verksamheter med egen växel eller med en teleleverantör som driver Switchvox berörs genom det tekniska beroendet.
• Ordning och säkerhet – KEV-katalogen är den mest användbara offentliga prioriteringslistan för uppdatering eftersom den bara innehåller brister där utnyttjande är belagt. Att läsa katalogen regelbundet och matcha den mot egen systeminventering är en enkel och kontrollerbar rutin i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

5. Strömavbrott i västra Stockholms innerstad slog ut tunnelbanans blå linje

Klassning: B1 · K3 · N4 · direkt verksamhetspåverkan

Ett strömavbrott slog ut elen i den västra delen av Stockholms innerstad från klockan 11.30 den 3 september 2026, och drygt 37 000 elanvändare blev berörda på Kungsholmen, i delar av Vasastan och på Essingeöarna. Uppgiften om omfattningen och det berörda området kommer från Ellevio enligt Dagens Nyheter. Avbrottet gav ett tekniskt fel som stoppade tunnelbanans blå linje, uppger Sophie Gunnarsson, presstalesperson på SL, till SVT. Strömmen var tillbaka strax efter klockan 12 och blå linjen gick igen, men SL varnade för kvarstående förseningar och inställda avgångar. Orsaken till avbrottet uppges inte av Ellevio i de refererade uppgifterna.

Status: Rapporterad i dagpasset 3 september. Nytt sedan dess: strömmen är återställd och blå linjen är i drift. Kontrollera nästa pass om Ellevio redovisar orsaken.

Källa: SVT Nyheter Stockholm, med Ellevio och SL som uppgiftslämnare – publicerad 3 september 2026 kl. 11.40
https://www.svt.se/nyheter/lokalt/stockholm/stort-stromavbrott-i-stockholm-s7261z

• Energiförsörjning – Avbrottet träffade eldistributionen i en tät del av Stockholm med både bostäder, kontor och offentlig verksamhet. Verksamheter i området fick sitt elberoende prövat i skarpt läge, och avbrott på cirka trettio minuter räcker för att slå ut it-stöd som saknar avbrottsfri kraft. Orsaken är inte redovisad, vilket gör att risken för upprepning inte går att bedöma.
• Transporter – Blå linjen stoppades helt under avbrottet. Kollektivtrafiken i Stockholm är ett beroende för personalförsörjningen i vård, omsorg, skola och räddningstjänst i hela länet, och ett stopp på en stomlinje mitt på dagen slår igenom på personalens möjlighet att komma till och från arbetet.
• Räddningstjänst och skydd av civilbefolkningen – Ett strömavbrott i tät stadsbebyggelse ökar belastningen på larmvägar och hisslarm. Händelsen är ett tillfälle att kontrollera att reservkraft och avbrottsfri kraft i egna lokaler faktiskt gick in som planerat.

6. Cisco stängde kritisk brist i Nexus 9000 som ger fjärrkörning av kod som root utan inloggning

Klassning: A1 · K3 · N3 · tekniskt beroende

Cisco PSIRT offentliggjorde den 2 september 2026 CVE-2026-20212, en brist med CVSS 9,8 i tio Nexus 9000-switchar byggda på Silicon One. En angripare utan inloggning som når switchens adress på tcp-port 43210 eller 43211 kan enligt Cisco skicka indata som körs som kod med root-behörighet, och ett misslyckat försök kan krascha processen S1HAL och starta om enheten. Cisco listar 45 NX-OS-versioner från 10.3(1) till 10.6(3s) som berörda och uppger den 2 september att man inte känner till någon skadlig användning. Rättningar finns, men Cisco publicerar ingen tabell över åtgärdade versioner och hänvisar till verktyget Cisco Software Checker; som tillfälliga åtgärder anges åtkomstlistor på infrastrukturen och skölden lp00031 i Live Protect.

Källa: The Hacker News, med Ciscos egen rådgivning som underlag – publicerad 3 september 2026, klockslag anges ej av källan; Ciscos offentliggörande skedde 2 september 2026
https://thehackernews.com/2026/09/critical-cisco-nexus-9000-flaw-lets.html

• Elektroniska kommunikationer och post – Nexus 9000 är ryggraden i datacenternät hos både myndigheter och de leverantörer som driver deras system. Fjärrkörning av kod som root på en switch ger angriparen kontroll över trafikvägarna och möjlighet att avlyssna eller styra om trafik mellan system som var för sig är välskyddade. De två portarna ligger som standard i förvaltnings-VRF, vilket gör att exponeringen beror på hur nätet är segmenterat.
• Industri, byggande och handel – Verksamheter som köper datacentertjänst berörs genom leverantören och inte genom egen utrustning. Frågan till leverantören bör vara vilken NX-OS-version som körs, om Silicon One-baserade modeller ingår och när rättningen läggs in. Att kunna ställa den frågan förutsätter en aktuell förteckning över tekniska beroenden hos tredje part, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

7. Ciscos härdningsrelease för IOS XR samlar sju sårbarheter, två av dem på 9,8

Klassning: A1 · K3 · N3 · tekniskt beroende

Cisco släppte den 2 september 2026 en härdningsrelease för IOS XR som samlar sju CVE-nummer. CVE-2026-20274 har CVSS 9,8, och de fem övriga ligger enligt Cisco mellan 8,2 och 8,8. Bristerna rör minnessäkerhet och resurshantering, de träffar enligt Cisco alla versioner oavsett konfiguration, och det finns ingen tillfällig åtgärd. Rättning sker genom programvaruunderhållsuppdateringar, så kallade SMU:er, eller genom uppgradering enligt Ciscos releaseplan.

Källa: Cisco PSIRT – publicerad 3 september 2026 kl. 20.53
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-iosxr-qg64NcM

• Elektroniska kommunikationer och post – IOS XR körs i operatörsnät och i stora stamnät. Att bristerna träffar alla versioner oavsett konfiguration och saknar tillfällig åtgärd betyder att skyddet bara kan uppnås genom uppdatering, vilket kräver planerade avbrottsfönster i utrustning som normalt inte tas ur drift. Verksamheter som köper förbindelser av en operatör berör detta genom leverantören.

8. Vattenläcka i Örebro stängde av vattnet i flera gator under natten

Klassning: A1 · K3 · N3 · direkt verksamhetspåverkan

Örebro kommun gick ut med information om en omfattande vattenläcka strax efter midnatt natten mot torsdagen den 3 september 2026, och många gator berördes. Kommunen uppger på sin webbplats att vattnet kan vara missfärgat och att trycket kan förändras när det kommer tillbaka, att missfärgningen inte är farlig och att boende bör spola kallvatten till vattnet är klart och vara försiktiga vid tvätt. I Norra Bro hade vattnet kommit tillbaka under morgonen enligt en boende som SVT talat med. Kommunen hade enligt SVT ingen prognos för när hela det berörda området skulle vara återställt, och läckan uppges senare vara lagad. Orsaken uppges inte.

Status: Rapporterad i morgonpasset 3 september. Nytt sedan dess: läckan är lagad och vattnet är tillbaka. Kontrollera nästa pass om kommunen redovisar orsak eller tar prover som visar påverkan på vattenkvaliteten.

Källa: SVT Nyheter Örebro, med Örebro kommun som uppgiftslämnare – publicerad 3 september 2026 kl. 06.14
https://www.svt.se/nyheter/lokalt/orebro/omfattande-vattenlacka-i-orebro-manga-gator-berors

• Livsmedelsförsörjning och dricksvatten – Dricksvattenförsörjningen bröts i ett bostadsområde och trycket i ledningsnätet förändrades. Tryckfall är den vanliga vägen in för föroreningar i ett distributionsnät, och kommunens egen uppmaning att spola kallvatten visar att vattenkvaliteten inte var säkerställd direkt efter återställningen. Verksamheter med måltidsverksamhet i området – förskolor, skolor och omsorgsboenden – kan ha behövt ställa om utan förvarning eftersom informationen gick ut mitt i natten.
• Hälsa, vård och omsorg – Vårdboenden och hemtjänst i det berörda området är beroende av rinnande vatten för hygienrutiner. En avbruten vattenförsörjning under natten prövar verksamhetens plan för nödvatten och för att kunna nå berörda brukare med information i tid.

9. Nationella säkerhetsrådet sammankallat efter drönaren i Leipzig – Must ser högt hot mot svenskt Ukrainastöd

Klassning: A1 · K3 · N3 · omvärldsläge

Nationella säkerhetsrådet hade ett extrainsatt möte den 3 september 2026 efter att Tyskland officiellt pekat ut Ryssland som ansvarigt för den drönare med sprängämnen som hittades på flygplatsen Leipzig/Halle i augusti. Thomas Nilsson, chef för Must, säger i SVT:s Morgonstudion att Ryssland använder avancerad hybridkrigföring mot Natoländer och att målet är att göra människor osäkra, splittra dem och få dem att upphöra med stödet till Ukraina. Han uppger att det finns ett högt hot mot Sveriges Ukrainastöd, och att hotet även omfattar privata företag. Till Dagens Nyheter säger Thomas Nilsson att Sverige inte är ett prioriterat mål i nuläget, att Ryssland i stället riktar in sig på mål i Tyskland, Polen och Baltikum, men att intentionen ganska snabbt kan ändras. Statsminister Ulf Kristersson beskriver enligt Omni händelsen som ett mönster av intensifiering.

Status: Rapporterad i morgonpasset 3 september. Nytt sedan dess: inga nya svenska besked under kvällen eller natten. Kontrollera nästa pass om regeringen eller Säkerhetspolisen lämnar en egen bedömning efter rådets möte.

Källa: SVT Nyheter Inrikes, med Must och Nationella säkerhetsrådet som uppgiftslämnare – publicerad 3 september 2026 kl. 08.41
https://www.svt.se/nyheter/inrikes/must-chefen-om-hybridkrig-finns-ett-hogt-hot

• Militärt försvar – Must:s bedömning är den högsta officiella svenska lägesbilden i fönstret och pekar ut Ukrainastödet som hotobjekt. Bedömningen ger grund för höjd vaksamhet i planeringen utan att någon konkret händelse i Sverige har inträffat.
• Industri, byggande och handel – Att hotet uttryckligen omfattar privata företag flyttar frågan från myndighetssfären till försvarsindustrins leveranskedjor. Underleverantörer som levererar materiel, transporter eller tjänster kopplade till Ukrainastödet bör räkna med kartläggning av lager, leveranstider och personal.
• Demokrati och beredskap – Must:s beskrivning av syftet – att skapa osäkerhet och splittring – är psykologiskt försvar snarare än fysiskt skydd. Verksamheter som lämnar samhällsinformation bör räkna med försök till otillbörlig informationspåverkan i anslutning till konkreta händelser.

10. Danmarks säkerhetspolis varnar för konkreta ryska sabotageförberedelser mot dansk försvarsindustri

Klassning: A1 · K3 · N3 · liknande verksamhet drabbad

Danmarks säkerhets- och underrättelsetjänst PET uppger att Ryssland aktivt förbereder sabotage mot företag i Danmark, framför allt kopplat till Danmarks militära stöd till Ukraina. Emil Græsholm, chef för kontraspionage vid PET, säger till Berlingske enligt Yle att planerna och förberedelserna är så konkreta att myndigheten anser det nödvändigt att gå ut med budskapet. Enligt PET kontaktas vanliga danskar och erbjuds uppdrag som att fotografera en lagerbyggnad, rapportera när en fabrik tar emot leveranser eller anlägga bränder med stora konsekvenser, och myndigheten uppger att den tagit ryska underrättelsetjänster på bar gärning när de förberett angrepp i närtid. PET anger inget antal fall. Näringslivsorganisationen Dansk Industri uppger att den kontaktar en rad danska företag efter varningen.

Källa: Yle Nyheter, med PET och Berlingske som underlag – publicerad 3 september 2026, klockslag anges ej av källan; PET:s varning lämnades 2 september 2026
https://yle.fi/a/7-10104614

• Industri, byggande och handel – Metoden som PET beskriver – att rekrytera privatpersoner för spaning och brandanläggning mot industrianläggningar – är direkt överförbar till svenska underleverantörer i försvarsindustrins leveranskedjor. Skyddet handlar mindre om skalskydd och mer om att personal känner igen och rapporterar spaning, fotografering och udda förfrågningar om leveranstider.
• Ordning och säkerhet – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs eftersom hotet riktas mot lager, fabriker och leveransflöden snarare än mot it-system. Misstänkt spaning mot en anläggning med säkerhetsskyddad verksamhet är grund för samråd med Säkerhetspolisen.
• Transporter – Att kartlägga när en anläggning tar emot leveranser pekar på transportkedjan som angreppsyta. Åkerier och terminaler som kör mot försvarsindustrin bör räkna in detta i sin egen riskbild.

11. Serbien utreder organiserad grupp som misstänks ha fört sprängämnen och drönare in i EU

Klassning: B2 · K3 · N3 · geografisk närhet

Serbiska åklagare bekräftade den 3 september 2026 att fyra personer är frihetsberövade i en utredning om en organiserad grupp som misstänks ha fört sprängämnen och drönare in i EU-länder, rapporterar Euractiv. Enligt myndigheterna omfattar gruppen tre ytterligare medlemmar, och den misstänks ha skaffat sprängämnen. Åklagarkammaren i Subotica inledde enligt Vreme den 31 augusti 2026 en utredning mot sju personer för att ha säkrat och lagrat sprängämnen, sprängladdningar och drönare i Serbien som därefter transporterats vidare.

Källa: Euractiv – publicerad 3 september 2026 kl. 14.35
https://www.euractiv.com/news/serbia-probes-organised-group-moving-explosives-drones-into-eu/

• Ordning och säkerhet – Utredningen pekar på en försörjningsväg för sprängämnen och drönare in i EU. Det knyter samman de enskilda drönarhändelserna i Europa med en logistikkedja och gör gränskontroll och underrättelsesamarbete till en konkret fråga snarare än en princip.
• Utrikeshandel – Om materielen förs in genom ordinarie godsflöden berörs exportkontroll och tullhantering. Transportörer och terminaler kan komma att möta skärpta kontroller.
• Transporter – Terminaler och hamnar är den punkt där sådan materiel passerar. Verksamheter i godsflödet berörs genom kontrollkrav och genom risken att användas som ovetande transportled.

12. Myndigheten för civilt försvar: civila samhällsfunktioner står i frontlinjen för hybridhot

Klassning: A1 · K3 · N3 · omvärldsläge

Myndigheten för civilt försvar (MCF) publicerade den 3 september 2026 klockan 08.00 en genomgång av erfarenheterna från Polen. MCF uppger att erfarenheterna visar hur civila samhällsfunktioner hamnar i frontlinjen för hybridhot, och att angrepp mot energi, transporter, sjukvård och digital infrastruktur har kombinerats med otillbörlig informationspåverkan.

Källa: Myndigheten för civilt försvar (MCF) – publicerad 3 september 2026 kl. 08.00
https://www.mcf.se/sv/aktuellt/nyheter/2026/september/lardomar-fran-polen-frontlinjen-for-hybridhot/

• Demokrati och beredskap – MCF pekar ut kombinationen av fysiska angrepp och informationspåverkan som mönstret att planera mot. Det innebär att en driftstörning i el, transport eller vård måste hanteras samtidigt med kommunikation utåt, och att de två inte kan skiljas i beredskapsplaneringen.
• Energiförsörjning – Energiförsörjningen nämns först bland de sektorer som angripits i Polen. Det stärker underlaget för att prioritera skydd av ställverk, driftövervakning och reservkraft.
• Hälsa, vård och omsorg – Sjukvården pekas ut som angripen sektor. För regioner innebär det att hybridhot bör ingå i den egna kontinuitetsplaneringen, inte bara i den nationella lägesbilden.
• Elektroniska kommunikationer och post – Digital infrastruktur nämns som angreppsmål. MCF:s beskrivning ger stöd för att behandla nät, molntjänster och datacentraltjänster som skyddsvärda i sig och inte bara som stöd till annan verksamhet.

13. Ronneby kommun låste stadshusets huvudentré efter uppgift om hotfull incident

Klassning: B1 · K3 · N3 · direkt verksamhetspåverkan

Ronneby kommun har låst dörrarna till stadshusets huvudentré efter att ha fått en signal om en hotfull incident, uppger SVT Blekinge den 3 september 2026. Bengt Nilsson på kommunen vill inte gå närmare in på vilken typ av hotfull incident det handlar om, och uppger att åtgärden görs för att säkerställa tryggheten för personal och besökare. Dörrarna ska enligt kommunen hållas låsta under torsdagen och fredagen och låsas upp igen på måndagen. Den bakre entrén vid polishuset hålls öppen och bevakas av väktare, och personer med bokat möte ombeds ringa och anmäla ankomst. Kommunen uppger att förtidsröstningen inte påverkas.

Status: Lyft tillbaka från grovsorteringen. Kontrollera nästa pass om kommunen eller polisen redovisar vad den hotfulla incidenten bestod i, och om huvudentrén öppnar som planerat på måndagen.

Källa: SVT Nyheter Blekinge – publicerad 3 september 2026 kl. 12.08
https://www.svt.se/nyheter/lokalt/blekinge/ronneby-laser-stadshusets-huvudentre-fick-signal-om-hotfull-incident

• Demokrati och beredskap – Ett stadshus som låser sin huvudentré under pågående förtidsröstning är en synlig inskränkning i tillgängligheten till offentlig förvaltning. Kommunen uppger att förtidsröstningen inte påverkas, men åtgärden sker i en period när valadministrationen är särskilt beroende av att allmänheten kan komma in. Hot mot förtroendevalda och mot valadministrationen hör till psykologiskt försvar och ska följas.
• Ordning och säkerhet – Skalskyddet har skärpts med väktare vid den kvarvarande entrén. Det är den konkreta åtgärden i händelsen och visar att kommunen bedömt hotet som tillräckligt allvarligt för att ändra det fysiska skyddet i flera dygn.
• Ordning och säkerhet – Personal och besökare i stadshuset berörs genom otrygghet och genom ändrade rutiner för ankomst. Kommunen har inte redovisat hotets innehåll, vilket gör att omfattningen inte går att bedöma utifrån öppna källor.

14. Hot mot skola i Katrineholm – polisen ökade närvaron vid fyra utbildningsenheter

Klassning: A1 · K3 · N3 · direkt verksamhetspåverkan

Polisen nåddes under onsdagen den 2 september 2026 av ett hotfullt meddelande riktat mot en skola i Katrineholm. Katrineholms kommun uppger i ett pressmeddelande att polisen ökar närvaron vid Järvenskolan, Duveholmsgymnasiet, Katrineholms tekniska college och Lindengymnasiet, och att elever, vårdnadshavare och personal har informerats. Polisen uppger att det i nuläget inte finns någon konkret anledning att tro att ett brott ska begås, men att uppgifterna tas på allvar och att skolornas säkerhetsrutiner följs. Polisen publicerade den 3 september 2026 klockan 16.07 en egen händelsenotis om olaga hot i Katrineholm med uppgiften att polispersonal kommer att vara på plats på skola.

Status: Kontrollera nästa pass om polisen avlastar bevakningen eller om hotet leder till förundersökning med misstänkt.

Källa: SVT Nyheter Sörmland och Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 16.15, polisens händelsenotis samma dag kl. 16.07
https://www.svt.se/nyheter/lokalt/sormland/uppgifter-om-hot-mot-skola-i-katrineholm-polisen-okar-narvaron

• Förskola, utbildning och forskning – Fyra utbildningsenheter driver skolverksamhet under förhöjt skyddsbehov med polis på plats. Utbildning och omsorg av barn och elever påverkas direkt genom oro hos elever och vårdnadshavare och genom att personal binds till säkerhetsrutiner i stället för undervisning.
• Ordning och säkerhet – Polisen har omfördelat resurser till bevakning av fyra platser i en kommun utifrån ett hot som man samtidigt bedömer som icke konkret. Kommunens skyldighet att underrätta berörda – elever, vårdnadshavare och personal – har fullgjorts genom pressmeddelandet.

15. Sql-injektion i All-in-One WP Migration berör över tre miljoner WordPress-webbplatser

Klassning: B2 · K2 · N3 · tekniskt beroende

En sårbarhet av hög allvarlighetsgrad i WordPress-tillägget All-in-One WP Migration and Backup exponerar enligt säkerhetsföretaget Defiant över tre miljoner webbplatser för fjärrkörning av kod, rapporterar SecurityWeek. Bristen har beteckningen CVE-2026-19949 och CVSS 8,8 och beskrivs som en sql-injektion i andra ledet som kan utnyttjas utan inloggning. Enligt Techtimes är tillägget installerat på mer än fem miljoner WordPress-webbplatser, och omkring 3,25 miljoner installationer – uppgivet 65 procent av användarbasen – är fortfarande inte uppdaterade, samtidigt som ett fungerande angreppsverktyg cirkulerar i underlag om hotbilden.

Källa: SecurityWeek, med Defiant som underlag – publicerad 3 september 2026 kl. 12.40
https://www.securityweek.com/over-3-million-wordpress-sites-affected-by-migration-plugin-vulnerability/

• Demokrati och beredskap – Tillägget används för säkerhetskopiering och flytt av WordPress-webbplatser, alltså på just de webbplatser där kommuner och myndigheter publicerar samhällsinformation. En sql-injektion som leder till kodkörning ger angriparen kontroll över webbplatsen och över de säkerhetskopior som tillägget hanterar, vilket träffar både publicering och möjligheten att återställa.
• Elektroniska kommunikationer och post – Tillsammans med Elementor Pro-bristen i posten om Elementor Pro gör detta WordPress-plattformen till dygnets tydligaste tekniska beroende. En enkel förteckning över vilka publika webbplatser verksamheten äger, vem som driftar dem och vilka tillägg de kör är förutsättningen för att kunna svara på om man är berörd, i linje med NCSC:s samlade stöd för cybersäkerhet i kommuner (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).

16. Angripare använder den betrodda Node.js-körmiljön för att leverera skadlig kod mot myndigheter

Klassning: B2 · K1 · N3 · tekniskt beroende

Flera hotaktörer använder den betrodda JavaScript-körmiljön Node.js för att köra skadliga skript och skapa uthållighet i angripna miljöer, uppger Symantec Threat Hunter Team i en rapport som The Hacker News refererar den 3 september 2026. Enligt rapporten har metoden använts i angrepp mot statliga myndigheter, teknikföretag och andra organisationer. CyPro uppger att aktiviteten har observerats sedan februari 2026 och kopplar den till förberedelser för utpressningsprogram. Node.js är digitalt signerad och legitim programvara, vilket enligt uppgifterna är det som gör metoden svår att upptäcka.

Status: Tidig signal om metod, inte om ett svenskt fall. Kontrollera nästa pass om NCSC eller CERT-SE tar upp metoden i egen rådgivning.

Källa: The Hacker News, med Symantec Threat Hunter Team som underlag – publicerad 3 september 2026 kl. 12.43
https://thehackernews.com/2026/09/attackers-turn-trusted-nodejs-runtime.html

• Elektroniska kommunikationer och post – Metoden bygger på att signerad och tillåten programvara används för att köra angriparens kod, vilket förbigår skydd som utgår från att kontrollera vad som får köras. Verksamheter som tillåter Node.js på klienter och servrar behöver komplettera med övervakning av vad körmiljön faktiskt gör, inte bara av om den får finnas.
• Ordning och säkerhet – Att statliga myndigheter uttryckligen nämns bland målen gör detta till en fråga om skydd av information i offentlig förvaltning. Kopplingen till förberedelser för utpressningsprogram som CyPro beskriver är en andrahandsuppgift och ska behandlas som sådan.

17. Kinesisk kampanj Fire Ant använde komprometterade Cisco-routrar som plattform för fortsatta angrepp

Klassning: B2 · K1 · N3 · tekniskt beroende

En kinesisk aktör har komprometterat Cisco-routrar och använt dem som utgångspunkt för att övervaka organisationer, stjäla autentiseringsuppgifter och bryta sig in i andra organisationer, uppger säkerhetsföretaget Sygnia i en rapport som The Record refererar. Enligt Sygnia dolde angriparna sin aktivitet för de nätverksadministratörer som förvaltade routrarna, spelade in trafik och använde de komprometterade routrarna för att undersöka andra värdefulla system. Kampanjen kallas Fire Ant.

Källa: The Record (Recorded Future News), med Sygnia som underlag – publicerad 1 september 2026, klockslag anges ej av källan; hämtad genom Traficoms bevakning 3 september 2026 kl. 04.00
https://therecord.media/router-hacks-fire-ant-group-china

• Elektroniska kommunikationer och post – Angreppet riktas mot nätutrustningen i stället för mot klienter och servrar. En router som angriparen kontrollerar utan att administratören ser det ger både avlyssning och ett fotfäste som överlever att arbetsplatserna städas. Verksamheter med äldre Cisco-utrustning i kanten av nätet berörs genom det tekniska beroendet.
• Ordning och säkerhet – Att aktiviteten aktivt döljs för administratörer innebär att avsaknad av larm inte är samma sak som att utrustningen är ren. Logginsamling från nätutrustning till en plats utanför utrustningen själv är den åtgärd som gör skillnad, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

18. Kritiska brister i Microsofts identitets- och molntjänster ger rättighetshöjning utan inloggning

Klassning: A1 · K3 · N3 · tekniskt beroende

Microsoft offentliggjorde den 3 september 2026 klockan 16.00 svensk tid ett antal sårbarheter i molntjänster, varav fyra bedöms som kritiska i NVD. CVE-2026-62916 i Microsoft Entra ID är en förbigång av autentisering genom en alternativ väg som enligt beskrivningen låter en angripare utan behörighet höja sina rättigheter över nätet. CVE-2026-83711 i Azure Active Directory B2C är en förbigång av behörighetskontroll genom en användarstyrd nyckel med samma följd. CVE-2026-70352 i Azure AI Language saknar autentisering för en kritisk funktion, och CVE-2026-80098 i Copilot Studio brister i verifiering av kryptografisk signatur. Microsoft offentliggjorde samtidigt CVE-2026-62815 i Microsoft QUIC som fjärrkörning av kod, CVE-2026-70178 i Microsoft Fabric, CVE-2026-65818 i Power Automate, CVE-2026-69414 i Microsoft Defender och CVE-2026-58641 i .NET som rättighetshöjning.

Källa: Microsoft Security Update Guide och NVD – publicerad 3 september 2026 kl. 16.00, kritikbedömningen i NVD publicerad 4 september 2026 kl. 01.17
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62916

• Legitimering – Entra ID och Azure AD B2C är de identitetstjänster som styr inloggning till offentliga e-tjänster och interna system. En förbigång av autentisering i identitetstjänsten är den brist som får störst spridning eftersom allt annat skydd bygger på att inloggningen håller. Funktionen legitimering och signering berörs därför direkt.
• Elektroniska kommunikationer och post – Bristerna sitter i tjänster som Microsoft driver, vilket innebär att verksamheten inte kan uppdatera själv utan är beroende av leverantörens rättning. Det som återstår för verksamheten är att granska inloggningsloggar och behörigheter i den egna hyresmiljön efter oväntad rättighetshöjning.
• Ordning och säkerhet – En bekräftad obehörig rättighetshöjning i identitetstjänsten kan vara en betydande incident som ska rapporteras till NCSC via Cyberportalen enligt cybersäkerhetslagen (2025:1506), och en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.

19. Elva kritiska brister i MOOS och MOOS-IvP – styrprogramvaran för autonoma marina farkoster

Klassning: A2 · K3 · N3 · tekniskt beroende

NVD publicerade natten till den 4 september 2026 elva sårbarheter med kritisk CVSS-nivå i programvarufamiljen MOOS och MOOS-IvP, som används för styrning och autonomi i marina farkoster. Enligt beskrivningarna saknar core-moos till och med 10.4.0 autentisering i sitt kommunikationsprotokoll, vilket låter klienter utan inloggning ansluta med fulla rättigheter att publicera, prenumerera och tömma databasen (CVE-2026-85424), och den valfria HTTP-servern i MOOSDB tillåter oautentiserade klienter att skriva variabler (CVE-2026-85428). pShare i essential-moos accepterar UDP-datagram från vilken avsändare som helst och publicerar dem vidare (CVE-2026-85430), och auktoriserar inte PSHARE_CMD, vilket låter vilken publicerare som helst konfigurera om nätvägar under drift (CVE-2026-85433). Vidare finns förautentiserad heap-överskrivning i MOOSCommPkt (CVE-2026-85440), buffertöverskrivningar i IvP-avkodarna (CVE-2026-85437, CVE-2026-85438), bristande ursprungskontroll i uFldNodeBroker och uFldShoreBroker (CVE-2026-85435, CVE-2026-85434) och fjärrkörning av kod genom oskyddade skalanrop i iSay och uMemWatch (CVE-2026-85425, CVE-2026-85426).

Källa: NVD, National Vulnerability Database – publicerad 4 september 2026 kl. 01.17
https://nvd.nist.gov/vuln/detail/CVE-2026-85424

• Militärt försvar – MOOS-IvP är den vanligaste öppna autonomiplattformen för obemannade undervattens- och ytfarkoster i forskning och försvarstillämpningar. Att fordonsbussen saknar autentisering och att vilken publicerare som helst kan konfigurera om nätvägar innebär att en angripare med nätåtkomst kan styra farkosten eller mata in falska lägesuppgifter. Ubåtsjakt och undervattensövervakning i Östersjön bygger i ökande grad på sådana farkoster.
• Industri, byggande och handel – Svenska tillverkare och forskningsmiljöer inom marin autonomi använder plattformen. Bristerna ligger i öppen programvara som byggs in i egna system, vilket gör detta till en fråga om mjukvaruleveranskedjan och om vilka komponenter man vet att man använder.
• Transporter – Sjötransporter och hamnar berörs på sikt genom att samma programvarufamilj används i autonom sjöfart och i mätfarkoster som kartlägger farleder.

20. Thomson Reuters uppger att domstolsdata i minst tolv delstater och Kanada exponerats i intrång mot C-Track

Klassning: A1 · K3 · N3 · leverantörsberoende

Thomson Reuters uppger att ett dataintrång har exponerat förseglad domstolsinformation och känsliga personuppgifter i domstolar i minst tolv amerikanska delstater, Amerikanska Jungfruöarna och Kanada, rapporterar The Record. Intrånget gäller C-Track, en plattform för hantering av domstolsmål som drivs av ett dotterbolag till Thomson Reuters. Företaget uppger att obehörig aktivitet upptäcktes den 30 juni och att utredningen visade att en obehörig part fått tillgång till vissa C-Track-filer i mars; Montanas högsta domstol uppger att Thomson Reuters har sagt till delstatliga tjänstemän att åtkomsten pågick från mars till juni. Enligt Thomson Reuters kan namn, amerikanska personnummer, körkortsnummer, medicinsk information, födelsedatum, sjukförsäkringsuppgifter samt maskerad, konfidentiell och förseglad information ha omfattats. Företaget uppger att plattformen inte störts, att nya säkerhetsåtgärder har införts och granskats av externa experter och att det inte finns bevis för missbruk hittills. Thomson Reuters har inte uppgett hur angriparen kom in, vem som låg bakom, hur mycket data som togs eller hur många personer som berörs.

Status: Rapporterad i dagpasset 3 september utifrån Reuters kortare notis 3 september kl. 05.06. Nytt sedan dess: The Record redovisar omfattningen – minst tolv delstater, Amerikanska Jungfruöarna och Kanada – och att åtkomsten pågick mars till juni. Kontrollera nästa pass om Thomson Reuters uppger antal berörda personer.

Källa: The Record (Recorded Future News) – publicerad 3 september 2026 kl. 14.00
https://therecord.media/thomson-reuters-cyberattack-data

• Ordning och säkerhet – Dömande och rättsvårdande verksamhet berörs genom att förseglat material har legat hos en systemleverantör och exponerats där. Fallet visar hur ett domstolsväsende kan förlora kontrollen över den mest skyddsvärda informationen utan att något brister i domstolens egna nät – Thomson Reuters framhåller uttryckligen att intrånget skedde i företagets egen miljö.
• Försörjning av grunddata – Person-, adress- och hälsouppgifter i stor mängd har exponerats genom en leverantörs plattform. Svenska verksamheter som lagt ärendehantering hos en internationell leverantör bör läsa fallet som en fråga om vilka avtalade rättigheter man har att få veta omfattningen – här har leverantören efter drygt två månader inte uppgett hur många personer som berörs.
• Legitimering – Läckta körkortsnummer och personnummer är underlag för identitetsmissbruk. Motsvarande händelse i Sverige skulle vara en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.

21. Aesto Health uppger att dataintrång i AWS-miljö berör 9 540 683 personer

Klassning: A1 · K3 · N3 · leverantörsberoende

Aesto LLC, som verkar under namnet Aesto Health, uppger att ett dataintrång berör mer än 9,5 miljoner personer, rapporterar BleepingComputer. I anmälan till USA:s hälso- och sjukvårdsdepartement anger företaget 9 540 683 berörda personer. Enligt Aesto Health komprometterades en begränsad del av företagets infrastruktur i Amazon Web Services mellan omkring den 2 och den 18 december 2025, händelsen bekräftades internt den 26 maj 2026 efter en kriminalteknisk utredning av externa specialister, och företaget gick ut offentligt den 24 juni 2026. Företaget började den 21 augusti 2026 informera berörda personer och erbjuder 24 månaders skydd mot identitetsstöld och kreditbevakning via Experian. HIPAA Journal uppger att incidenten indirekt berör 29 vårdgivare. Enligt uppgifterna kan namn, födelsedatum, medicinsk information, körkortsnummer och kontonummer ha omfattats. Ingen hotgrupp har tagit på sig angreppet.

Källa: BleepingComputer – publicerad 1 september 2026 kl. 15.28, hämtad genom Traficoms bevakning 3 september 2026 kl. 04.00
https://www.bleepingcomputer.com/news/security/aesto-health-says-data-breach-affects-over-95-million-patients/

• Hälsa, vård och omsorg – Hälso- och sjukvårdsuppgifter om 9,5 miljoner personer har exponerats genom en leverantör som 29 vårdgivare delade. Det är samma beroendemönster som svenska regioner har mot sina systemleverantörer, där ett intrång hos en leverantör slår igenom hos alla som köper tjänsten samtidigt. Att intrånget skedde i december 2025 och först bekräftades i maj 2026 visar hur lång tid det kan ta innan en vårdgivare får veta att den är berörd.
• Ordning och säkerhet – Motsvarande händelse i Sverige skulle vara en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten inom 72 timmar och sannolikt en betydande incident att rapportera till NCSC via Cyberportalen. Fallet är ett argument för att avtala rätten att bli underrättad utan dröjsmål och att kunna kräva besked om omfattning, vilket ligger i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

22. Sabotage mot valskyltar i Blekinge – parti utlovar 10 000 kronor i belöning

Klassning: C2 · K1 · N3 · direkt verksamhetspåverkan

Ett parti utlovar 10 000 kronor i belöning efter sabotage mot sina valskyltar, rapporterar Blekinge Läns Tidning den 3 september 2026. Händelsen ligger i ett mönster som Sveriges Radio beskrev den 21 augusti 2026, där i princip alla partier har fått valaffischer nedrivna runt om i Sverige och där polisen genom Anna Kudrocova uppger att förstörelse av valaffischer är ett brott som kan utgöra skadegörelse, stöld eller egenmäktigt förfarande.

Status: Kontrollera nästa pass om antalet valincidenter i länet ökar och om Valmyndigheten börjar redovisa siffror inför valdagen.

Källa: Blekinge Läns Tidning – publicerad 3 september 2026 kl. 16.25
https://www.blt.se/nyheter/efter-sabotage-mot-valskyltar-partiet-utlovar-10-000-kronor-i-beloning/

• Demokrati och beredskap – Allmänna val och skyddet av valrörelsen berörs direkt. Skadegörelse mot valskyltar är i sig lågt räknat, men mängden incidenter är det mått Valmyndigheten och länsstyrelserna följer under en valrörelse, och en privat belöning för att peka ut gärningspersoner riskerar att flytta konflikten från polis till enskilda.
• Ordning och säkerhet – Kommunerna ansvarar för uppsättning och tillsyn av valskyltar på allmän plats och kan behöva öka tillsynen. Anmälan till polis och rapportering av incidenter till länsstyrelsen och Valmyndigheten är den etablerade vägen.

23. Risk för vattenbrist i Västmanland

Klassning: A1 · K3 · N3 · direkt verksamhetspåverkan

SVT rapporterar den 3 september 2026 om risk för vattenbrist i Västmanland och om hur enskilda kan påverkas. Läget ska ses mot att 22 av 279 bevakade kommuner enligt Bevattningskartan har aktivt bevattningsförbud och ytterligare 23 har en rekommendation.

Status: Lyft tillbaka från grovsorteringen. Kontrollera nästa pass om Västmanlands kommuner inför bevattningsförbud eller om Länsstyrelsen går ut med besked.

Källa: SVT Nyheter Västmanland – publicerad 3 september 2026 kl. 05.30
https://www.svt.se/nyheter/lokalt/vastmanland/risk-for-vattenbrist-i-vastmanland-sa-kan-du-paverkas

• Livsmedelsförsörjning och dricksvatten – Dricksvattenförsörjningen i länet är ansträngd. Vattenbrist är en långsam avvikelse som först syns som restriktioner och som i förvärrat läge påverkar måltidsverksamhet, livsmedelstillverkning och primärproduktion. Kommunala huvudmän behöver ha beslutade nivåer för när förbud införs och hur berörda underrättas.
• Hälsa, vård och omsorg – Vårdboenden och tandvård är beroende av säker vattenkvalitet och tillräckligt tryck. En övergång till nödvatten är en planeringsfråga som bör vara löst innan bristen blir akut.

24. Signalfel stoppade tågtrafiken mellan Nässjö och Falköping – ersättningsbussar uteblev

Klassning: B1 · K3 · N3 · direkt verksamhetspåverkan

Resenärer mellan Nässjö och Falköping drabbades av inställda tåg under torsdagen den 3 september 2026, och ersättningsbussar uteblev, rapporterar Sveriges Radio. Västtrafik uppger att ett signalfel låg bakom tågstoppet och att följdförseningar förvärrade läget, och störningarna fortsatte under kvällen.

Status: Lyft tillbaka från grovsorteringen. Kontrollera nästa pass om Trafikverket redovisar orsaken till signalfelet och om trafiken går enligt tidtabell.

Källa: Sveriges Radio, med Västtrafik som uppgiftslämnare – publicerad 3 september 2026 kl. 21.21
https://www.sverigesradio.se/artikel/installda-tag-mellan-nassjo-och-falkoping-efter-signalfel

• Transporter – Landtransporter på järnväg och kollektivtrafik slogs ut på en sträcka som binder samman Jönköpings och Västra Götalands län. Att ersättningstrafiken uteblev är den allvarligare delen: när tågen ställs in utan att bussar sätts in står resenärerna kvar, och personalförsörjningen till verksamheter i orterna längs sträckan drabbas under hela arbetsdagen.
• Räddningstjänst och skydd av civilbefolkningen – Ett signalfel i järnvägens styrsystem är en teknisk störning utan antagonist, men den visar hur snabbt kollektivtrafiken tappar funktion när ett enskilt tekniskt system faller bort och reservtrafiken inte hinner sättas upp.

25. Integritetsskyddsmyndigheten granskar ett it-företag utifrån kreditupplysningslagen och dataskyddsförordningen

Klassning: A1 · K3 · N3 · regel och tillsyn

Integritetsskyddsmyndigheten (IMY) uppger den 3 september 2026 att myndigheten har inlett en granskning av ett it-företag utifrån kreditupplysningslagen och dataskyddsförordningen. IMY publicerade samma dag också en vägledning för AI-projekt i vård och omsorg.

Status: Lyft tillbaka från grovsorteringen. Kontrollera nästa pass om IMY namnger företaget eller anger granskningens omfattning.

Källa: Integritetsskyddsmyndigheten (IMY) – publicerad 3 september 2026 kl. 10.54
https://www.imy.se/nyheter/imy-granskar-ett-it-foretag-utifran-kreditupplysningslagen-och-GDPR/

• Finansiella tjänster – Kreditupplysningsverksamhet är en förutsättning för finansiering och kreditbedömning. En tillsyn som prövar hur ett it-företag hanterar kreditupplysningsuppgifter kan leda till förelägganden som ändrar villkoren för de verksamheter som köper uppgifterna.
• Försörjning av grunddata – Granskningen rör hanteringen av person- och företagsuppgifter. Utfallet kan påverka vilka uppgifter som får lämnas ut och i vilken form, vilket berör alla verksamheter som bygger beslut på kreditupplysning.
• Hälsa, vård och omsorg – IMY:s samtidiga vägledning för AI-projekt i vård och omsorg är den handfasta delen för regioner och kommuner som planerar AI-stöd i vården, och den bör läsas innan projekt startar snarare än efteråt.

26. Teams och Outlook startar inte på ARM-baserade Windows-datorer efter augustiuppdateringen

Klassning: A1 · K3 · N3 · tekniskt beroende

Microsoft bekräftar ett känt fel där Microsoft Teams och den nya Outlook för Windows kraschar eller inte startar på ARM-baserade datorer efter säkerhetsuppdateringar som släppts från och med den 11 augusti 2026. Enligt Microsofts sida för utgåvestatus rör det OS-bygge 26100.9168 med KB5121003 för Windows 11 24H2 och OS-bygge 28000.2704 med KB5121000 för version 26H1, felet är markerat som begränsat och statusen uppdaterades senast den 1 september 2026. Cybersecuritynews uppger att problemet främst uppträder på nya datorer och inte berör andra program.

Källa: Microsoft Learn, Windows release health – publicerad 3 september 2026 kl. 10.55 enligt bevakningen; Microsofts statusuppdatering daterad 1 september 2026
https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2

• Elektroniska kommunikationer och post – Teams och Outlook är de bärande verksamhetssystemen för kommunikation i offentlig förvaltning. Att de inte startar på nya ARM-baserade datorer efter en säkerhetsuppdatering ger bortfall av it-stöd för de medarbetare som fått ny utrustning, och det uppträder just vid nyleverans när personalen är minst självhjälpt.
• Räddningstjänst och skydd av civilbefolkningen – Verksamheter som använder Teams för samverkan i stabsarbete bör kontrollera att inte de datorer som är avsedda för krisorganisationen är av den berörda typen.

27. EU kallade upp Rysslands sändebud efter drönarangreppet mot Leipzig/Halle

Klassning: B1 · K3 · N2 · omvärldsläge

EU:s utrikeschef Kaja Kallas uppger att unionen har kallat upp Rysslands sändebud i Bryssel efter det försökta hybridangreppet med en sprängmedelslastad drönare mot flygplatsen Leipzig/Halle i augusti. Kaja Kallas säger enligt Deutsche Welle att det mesta tyder på ett statligt understött terrorangrepp. Tysklands utrikes- och inrikesministrar höll enligt samma källa en gemensam pressträff om händelsen, och Finlands utrikesminister Elina Valtonen uppger enligt Yle att även Finland kallar upp Rysslands ambassadör.

Källa: Deutsche Welle – publicerad 2 september 2026, klockslag anges ej av källan; återgiven i fönstret av Euractiv 3 september 2026 kl. 11.34
https://www.dw.com/en/leipzig-airport-attack-kaja-kallas-russian-envoy-summoned/a-78687280

• Transporter – En sprängmedelslastad drönare inne på ett flygplatsområde är en angreppsform som svenska lufttransporter och terminaler skyddas mot med samma slags åtgärder – detektering, avspärrning och rutiner för att stoppa trafik. Att flera europeiska stater nu behandlar händelsen som statligt understödd höjer den nivå av hot som flygplatsers skyddsplanering behöver utgå från.
• Demokrati och beredskap – Den diplomatiska hanteringen är en del av omvärldsläget och ger sammanhang till Must:s bedömning i posten om Must:s bedömning. Den ger ingen ny svensk åtgärdspunkt i sig.

28. Misstänkt farligt föremål i Helsingborg visade sig ofarligt

Klassning: A1 · K3 · N2 · geografisk närhet

Polisen fick den 3 september 2026 klockan 16.28 in ett larm om ett misstänkt farligt föremål i Berga i Helsingborg och publicerade en händelsenotis om det. SVT rapporterade senare samma dag att föremålet var ofarligt.

Källa: SVT Nyheter Helsingborg och Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 16.50, polisens händelsenotis samma dag kl. 16.46 om ett larm kl. 16.28
https://www.svt.se/nyheter/lokalt/helsingborg/misstankt-farligt-foremal-i-helsingborg-6vab7h

• Räddningstjänst och skydd av civilbefolkningen – Larmet band räddningstjänst och polis under eftermiddagen och avspärrningar i Berga påverkade framkomligheten. Händelsen avslutades utan konsekvens men hör till det mönster av bombhot och misstänkta föremål som återkommande belastar blåljusverksamheten.
• Ordning och säkerhet – Avspärrning och avlysning är den åtgärd som utförts. Att föremålet var ofarligt kontrollerades och avfördes inom några timmar, vilket är det som gör att posten kan avslutas i stället för att följas.

29. Åskoväder slog ut strömmen för cirka 580 anslutningar i Jörn

Klassning: B1 · K3 · N2 · direkt verksamhetspåverkan

Strömmen försvann vid 06.15-tiden den 3 september 2026 i Jörn i Skellefteå kommun efter ett åskoväder. Skellefteå Kraft uppger på sin webbplats att cirka 580 elanvändare blev utan ström och att bolaget arbetade med att åtgärda felet. Vid 07.10 hade många fått strömmen tillbaka, men enligt SVT var ett mindre antal fortfarande utan.

Status: Lyft tillbaka från grovsorteringen.

Källa: SVT Nyheter Västerbotten, med Skellefteå Kraft som uppgiftslämnare – publicerad 3 september 2026 kl. 06.49
https://www.svt.se/nyheter/lokalt/vasterbotten/hundratals-stromlosa-efter-askovader-i-jorn

• Energiförsörjning – Eldistributionen i en glesbygdsort slogs ut av väder. Omfattningen är begränsad, men den här typen av avbrott träffar ofta enskilda vårdtagare med hemtjänst och trygghetslarm som är beroende av el, och avbrott efter åska tenderar att vara oregelbundna med upprepade bortfall under åtgärdsarbetet.
• Räddningstjänst och skydd av civilbefolkningen – Trygghetslarm och telefoni i området kan påverkas när elen försvinner. Kommunens rutin för att nå brukare med batteridrivna larm bör prövas mot ett avbrott av den här längden.

30. Plex uppmanar till omedelbar uppdatering av mediaserver och skrivbordsklient

Klassning: B2 · K3 · N2 · tekniskt beroende

Plex uppmanar användare att uppdatera så snart som möjligt för att åtgärda säkerhetsbrister, rapporterar BleepingComputer och Forbes. Enligt uppgifterna släppte Plex den 1 september 2026 Plex Media Server 1.43.3 och Plex Desktop 1.115.0, och uppmanar administratörer som kör version 1.43.2 eller tidigare att uppgradera. Plex har inte redovisat vad bristerna består i. Forbes uppger att tjänsten har omkring 42 miljoner aktiva användare per månad globalt.

Källa: BleepingComputer, kompletterad med Forbes – publicerad 3 september 2026 kl. 13.02
https://www.forbes.com/sites/daveywinder/2026/09/03/plex-warns-users-to-update-as-soon-as-possible-to-fix-security-issues/

• Elektroniska kommunikationer och post – Plex förekommer på enheter i verksamheters nät utan att vara ett beslutat verksamhetssystem, ofta i personalutrymmen, konferensrum eller på hemarbetsplatser med tunnelanslutning. En internetexponerad mediaserver med okänd brist är en ingång som inte finns i någon systemförteckning, vilket är det som gör posten värd att ta med trots att tjänsten inte är samhällsviktig i sig.

31. Microsoft bekräftar att förhandsuppdateringen KB5120998 återställer skrivbordsinställningar i Windows 11

Klassning: A1 · K3 · N2 · tekniskt beroende

Microsoft bekräftar att skrivbordsinställningar försvinner eller återställs på vissa Windows-enheter efter att förhandsuppdateringen KB5120998 från augusti 2026 har installerats, rapporterar BleepingComputer. Enligt Microsoft berör felet system som kör Windows 11 24H2 och 25H2, och det kan påverka skrivbordsunderlägg, tema och andra inställningar. Microsoft uppger samtidigt att en tidigare rapporterad återställning av muspekaren i samma uppdatering bara berör datorer med annat språk än engelska.

Källa: BleepingComputer – publicerad 3 september 2026 kl. 14.16, den kompletterande uppgiften om muspekaren kl. 17.22
https://www.bleepingcomputer.com/news/microsoft/microsoft-says-kb5120998-windows-update-resets-desktop-settings/

• Elektroniska kommunikationer och post – Felet är kosmetiskt men träffar arbetsplatsdriften i stora enhetsflottor och genererar supportärenden i kommuner och regioner som lagt in förhandsuppdateringen i sin utrullning. Det viktiga för verksamheten är att veta att felet är känt och bekräftat av leverantören, så att tid inte läggs på felsökning i den egna miljön.

32. Phishing-kampanj mot fjärrstyrningsverktyg spänner över 46 länder med USA som största mål

Klassning: B2 · K1 · N2 · tekniskt beroende

USA har blivit det största målet i en phishing-kampanj som riktas mot verktyg för fjärrövervakning och fjärrstyrning och som spänner över 46 länder, uppger The Hacker News den 3 september 2026.

Källa: The Hacker News – publicerad 3 september 2026 kl. 13.58
https://thehackernews.com/2026/09/us-becomes-top-target-in-rmm-phishing.html

• Elektroniska kommunikationer och post – Verktyg för fjärrövervakning och fjärrstyrning används av it-leverantörer för att administrera sina uppdragstagares miljöer. En angripare som kommer in i leverantörens verktyg når alla miljöer som verktyget administrerar samtidigt, vilket gör detta till ett angrepp i leveranskedjan snarare än mot en enskild verksamhet.
• Industri, byggande och handel – Verksamheter som köper it-drift bör kunna svara på vilket fjärrstyrningsverktyg leverantören använder och om åtkomsten skyddas med flerfaktorsautentisering. Frågan hör till kontrollen av tredjepartsberoenden i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

33. Microsoft: dold ASCII-text går från promptinjektion mot AI till att förbigå phishing-skydd

Klassning: B2 · K1 · N2 · tekniskt beroende

Microsoft uppger att tekniken ASCII-smuggling, som tidigare setts vid promptinjektion mot AI-tjänster, nu används för att förbigå skydd mot phishing. Uppgiften kommer från Microsoft Security Blog och Microsofts hotanalysenhet.

Källa: Microsoft Security Blog – publicerad 3 september 2026 kl. 18.00
https://www.microsoft.com/en-us/security/blog/

• Elektroniska kommunikationer och post – Tekniken bygger på tecken som inte syns för människan men som tolkas av program, vilket gör att både granskaren och filtret ser något annat än mottagarens klient. För verksamheter innebär det att utbildning i att känna igen phishing inte räcker när avvikelsen är osynlig, och att skyddet måste ligga i tekniken.
• Demokrati och beredskap – Samma teknik kan användas för att lägga in dolda instruktioner i material som behandlas av AI-stöd i offentlig förvaltning. Det är en fråga att ta med när AI-tjänster införs i ärendehandläggning.

34. Angrepp med AI-agenter kortade förloppet från två veckor till tio timmar

Klassning: C2 · K1 · N2 · omvärldsläge

AI-agenter användes i ett angrepp med utpressningsprogram där förloppet tog under tio timmar, rapporterar Computer Sweden. Dark Reading beskriver samma uppgift som att maskinhastighet kortar ett angrepp som tidigare tog två veckor till tio timmar. Uppgifterna bygger på samma ursprungliga underlag och räknas som en källa.

Källa: Computer Sweden och Dark Reading – publicerad 3 september 2026 kl. 12.58
https://computersweden.se/article/4218052/ai-agenter-bidrar-till-att-begransa-intrang-av-utpressningsprogram-till-under-10-timmar-vilket-okar-pressen-

• Ordning och säkerhet – Om tiden från intrång till kryptering krymper till en arbetsdag räcker det inte att upptäcka angrepp inom ett dygn. Det påverkar hur beredskapen för it-incidenter ska bemannas: jourtid och mandat att koppla ned system måste finnas när larmet går, inte nästa morgon.
• Hälsa, vård och omsorg – Vård och omsorg har låg tolerans för avbrott och långa återställningstider. En kortare angreppscykel gör att kontinuitetsplanen behöver kunna aktiveras utan att man först väntar in en fullständig bild av läget, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

35. Pegasus-spionprogram infekterade mobiltelefon hos medlem i serbisk studentrörelse utan användarinteraktion

Klassning: B2 · K1 · N2 · omvärldsläge

Ett angrepp med spionprogrammet Pegasus som inte kräver någon åtgärd av användaren har infekterat en iPhone som tillhör en medlem av den serbiska studentrörelsen, uppger The Hacker News den 3 september 2026.

Källa: The Hacker News – publicerad 3 september 2026 kl. 10.43
https://thehackernews.com/2026/09/pegasus-zero-click-spyware-exploit.html

• Demokrati och beredskap – Angrepp mot mobiltelefoner hos aktivister och journalister utan att användaren gör något är den svåraste formen att skydda sig mot. Hot mot journalister och förtroendevalda hör till psykologiskt försvar, och fallet är ett skäl att se över hur förtroendevalda och personal med skyddsvärda uppgifter använder egna mobiltelefoner.
• Ordning och säkerhet – Kommersiellt spionprogram som når in i en telefon utan interaktion gör mobil åtkomst till verksamhetens system till en fråga om säkerhetsskydd och inte bara om bekvämlighet.

36. Polisen kamerabevakade med drönare i Landskrona och Malmö

Klassning: A1 · K3 · N2 · omvärldsläge

Polisen publicerade den 3 september 2026 två händelsenotiser om kamerabevakning med obemannade luftfartyg. Klockan 12.00 uppgav polisen kamerabevakning med drönare i Malmö, och klockan 17.03 uppgav polisen att man kommer att kamerabevaka med drönare i delar av Landskrona i samband med match för Landskrona BoIS.

Källa: Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 11.58 och kl. 17.05
https://polisen.se/aktuellt/handelser/2026/september/3/3-september-17.03-polisinsatskommendering-landskrona/

• Ordning och säkerhet – Notiserna är egen myndighetsverksamhet och inte en avvikelse, men de har praktisk betydelse för lägesbilden: när polisen själv flyger drönare i ett område kommer inrapporterade drönarobservationer från allmänheten sannolikt att öka. Verksamheter i Malmö och Landskrona som rapporterar drönarobservationer bör kontrollera mot polisens egna notiser innan en observation behandlas som en incident.

37. SMHI varnade för kuling över sydöstra Östersjön

Klassning: A1 · K3 · N2 · omvärldsläge

SMHI utfärdade den 3 september 2026 klockan 22.50 en gul varning för kuling med 14 till 17 meter per sekund över sydöstra Östersjön.

Källa: SMHI, vädervarningar – publicerad 3 september 2026 kl. 22.50
https://www.smhi.se/vader/varningar-och-brandrisk/varningar-och-meddelanden/varningar

• Transporter – Kuling över sydöstra Östersjön berör sjötransporter och färjetrafik. En gul varning innebär inte inställd trafik, men den påverkar lastsäkring, tidhållning och möjligheten att genomföra arbete på öppet vatten.
• Energiförsörjning – Vind i det intervallet påverkar produktionen i havsbaserad vindkraft och kan begränsa åtkomsten för underhållsfartyg.

38. Arbetsplatsolycka i Insjön – person klämd på lastbilsflak vid avfallsanläggning

Klassning: A1 · K3 · N2 · liknande verksamhet drabbad

Polisen fick den 3 september 2026 klockan 10.46 larm om en arbetsplatsolycka där en besökare på en avfallsanläggning i Insjön klämts fast ombord på sin egen lastbil och dess flak. Polisen publicerade händelsenotisen under rubriken Nacka i Stockholms län. Polisen fick samma morgon klockan 08.12 även larm om en olycka under arbete i Gällivare.

Status: Polisens egen notis har motstridig ortsangivelse. Kontrollera nästa pass mot Arbetsmiljöverkets anmälningsregister vilken anläggning som berörs.

Källa: Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 11.38 respektive kl. 10.46
https://polisen.se/aktuellt/handelser/2026/september/3/3-september-10.46-arbetsplatsolycka-nacka/

• Livsmedelsförsörjning och dricksvatten – Avfallshantering är en samhällsviktig funktion under Livsmedelsförsörjning och dricksvatten. En personskada vid en avfallsanläggning ger personalbortfall och kan leda till att anläggningen delvis stängs under utredning, vilket påverkar avfallsflödet i kommunen.
• Ordning och säkerhet – Arbetsplatsolyckor med klämskada ska anmälas till Arbetsmiljöverket och kan leda till tillsynsärende. Notisens ortsangivelse är motstridig – rubriken anger Nacka men texten anger Insjön – vilket bör kontrolleras innan uppgiften används vidare.

39. Trafikolycka i Märsta – två personer allvarligt skadade när lastbil och personbil kolliderade

Klassning: A1 · K3 · N2 · omvärldsläge

Polisen fick den 3 september 2026 klockan 09.58 larm om att en lastbil och en personbil kolliderat i Märsta i Sigtuna kommun. Två personer är enligt polisen allvarligt skadade.

Källa: Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 11.31
https://polisen.se/aktuellt/handelser/2026/september/3/3-september-09.58-trafikolycka-personskada-sigtuna/

• Transporter – Landtransporter på väg berörs genom avstängning och omledning i ett område med tung trafik mot Arlanda. Två allvarligt skadade personer binder ambulans- och räddningsresurser i Stockholms län under förmiddagen.
• Hälsa, vård och omsorg – Hälso- och sjukvården tar emot två allvarligt skadade, vilket belastar akutmottagning och eventuellt intensivvård.

40. Brand på Höglandssågen i Örnsköldsvik

Klassning: C2 · K1 · N2 · liknande verksamhet drabbad

Allehanda rapporterar den 3 september 2026 om en brand på Höglandssågen i Örnsköldsvik. Höglandssågen är enligt bolagets egen beskrivning ett bandsågverk i centrala Örnsköldsvik som drivs av AB Högland Såg & Hyvleri. Polisen publicerade samma morgon klockan 08.14 en händelsenotis om brand i Västernorrlands län med larmtid 07.20, uppdaterad klockan 09.23. Omfattningen och orsaken uppges inte av källorna.

Status: Kontrollera nästa pass om räddningstjänsten redovisar omfattning och orsak, och om produktionen står still.

Källa: Allehanda (Örnsköldsvik), kompletterad med Polismyndighetens händelsenotiser – publicerad 3 september 2026 kl. 15.03, polisens notis samma dag kl. 08.14 om ett larm kl. 07.20
https://www.allehanda.se/ornskoldsvik/brand-pa-hoglandssagen/

• Industri, byggande och handel – Ett sågverk är en industrianläggning i den träförädlande leveranskedjan. En brand ger produktionsbortfall och kan påverka leveranser av byggmaterial till bygg och anläggning i regionen. Sågverk har hög brandbelastning och kräver stora räddningsinsatser.
• Räddningstjänst och skydd av civilbefolkningen – Räddningstjänsten i Örnsköldsvik band resurser under morgonen. Industribränder i sågverk är långvariga insatser med risk för att släckvatten behöver hanteras.

41. Polisen varnar för bedragare som utger sig för att vara döva och tar sig in i äldres bostäder

Klassning: A1 · K3 · N2 · direkt verksamhetspåverkan

Polisen varnar för bedragare som utger sig för att vara döva och som tar sig in i äldre personers bostäder, rapporterar SVT den 3 september 2026.

Status: Lyft tillbaka från grovsorteringen.

Källa: SVT Nyheter – publicerad 3 september 2026 kl. 13.59
https://www.svt.se/nyheter/nyhetstecken/polisen-varnar-bluffdova-tar-sig-in-i-aldres-bostader

• Hälsa, vård och omsorg – Socialtjänst och hemtjänst möter brukargruppen direkt i deras bostäder och är den funktion som kan sprida varningen effektivt. Hemtjänstpersonal bör kunna svara på hur en brukare kontrollerar en okänd besökare, och rutinen för legitimering av personal bör vara tydlig för att inte bedragare ska kunna använda den mot brukarna.
• Ordning och säkerhet – Brottsförebyggande arbete i samverkan mellan kommun och polis berörs. Varningen kräver ingen åtgärd i verksamhetens system men bör gå ut i berörda utförarorganisationer.

42. Studsvik har valt reaktortyp och siktar på elleverans i mitten av 2030-talet

Klassning: B1 · K3 · N1 · omvärldsläge

Studsvik har valt reaktor och vill leverera el i mitten av 2030-talet, rapporterar Sveriges Radio den 3 september 2026.

Källa: Sveriges Radio (regionalt) – publicerad 3 september 2026 kl. 19.53
https://www.sverigesradio.se/artikel/studsvik-har-valt-reaktor-planerar-leverera-el-2030

• Energiförsörjning – Ny kärnkraftskapacitet påverkar elförsörjningen på lång sikt och därmed planeringsförutsättningarna för verksamheter med stort elberoende. Posten är omvärldsläge och kräver ingen åtgärd nu, men den hör till bilden av hur elförsörjningen utvecklas.
• Ordning och säkerhet – En ny kärnteknisk anläggning innebär säkerhetsskyddad verksamhet och tillståndsprövning, vilket i sin tur ställer krav på bevakning och fysiskt skydd av samhällsviktig verksamhet under hela uppbyggnaden.

43. Varning: tandvårdsreform kan kosta 16 miljarder kronor

Klassning: C2 · K1 · N1 · regel och tillsyn

En tandvårdsreform kan kosta 16 miljarder kronor, rapporterar Altinget Sverige den 3 september 2026 med hänvisning till en varning i beredningen.

Källa: Altinget Sverige – publicerad 3 september 2026 kl. 04.00
https://www.altinget.se/artikel/tandvaardsreform-kan-kosta-16-miljarder

• Hälsa, vård och omsorg – Tandvård är en av de viktiga samhällsfunktionerna under Hälsa, vård och omsorg. En reform av den storleken påverkar regionernas planering av tandvårdsuppdraget och bemanningen på sikt.
• Ekonomisk säkerhet – Finansiering av offentlig verksamhet berörs genom kommunavräkning och statliga ersättningar om reformen genomförs. Posten är omvärldsläge och innebär ingen åtgärd nu.

44. Forskare bedömer att Ryssland sannolikt planerar en attack mot Nato

Klassning: C3 · K1 · N1 · omvärldsläge

Forskare bedömer att det är sannolikt att Ryssland planerar en attack mot Nato, rapporterar Dagens Nyheter den 3 september 2026. Uppgiften är en forskarbedömning och inte en myndighetsbedömning. RiskNet noterar att Must:s chef Thomas Nilsson samma dag uppger att Sverige inte är ett prioriterat mål i nuläget, se händelsen om Nationella säkerhetsrådet och Must; de två uppgifterna beskriver olika tidshorisonter och ska hållas åtskilda.

Källa: Dagens Nyheter – publicerad 3 september 2026 kl. 15.02
https://www.dn.se/varlden/forskare-sannolikt-att-ryssland-planerar-attack-mot-nato/

• Militärt försvar – Bedömningen är omvärldsläge och kräver ingen åtgärd. Den redovisas för att den ligger i samma fönster som Must:s bedömning och kan komma att citeras vidare som om den vore en officiell hotbild, vilket den inte är.
• Demokrati och beredskap – Forskarbedömningar av rysk krigsplanering används i informationspåverkan i båda riktningarna. Verksamheter som kommunicerar om beredskap bör hålla isär myndighetsbedömning och forskarbedömning i sin egen kommunikation.

45. Svensk gängtopp gripen i Rumänien

Klassning: A1 · K3 · N1 · omvärldsläge

En svensk gängkriminell person greps den 3 september 2026 i Rumänien, rapporterar SVT Nyheter Inrikes. Dagens Nyheter och Sveriges Radio rapporterar samma händelse.

Status: Kontrollera nästa pass om gripandet följs av våldshändelser i Sverige.

Källa: SVT Nyheter Inrikes – publicerad 3 september 2026 kl. 12.36
https://www.svt.se/nyheter/inrikes/svensk-gangkriminell-gripen-i-rumanien

• Ordning och säkerhet – Dömande och rättsvårdande verksamhet berörs genom ett internationellt gripande med efterföljande överlämnandeärende. Gripanden av personer i ledande ställning i kriminella nätverk har tidigare följts av våldsvågor i Sverige, vilket är den bevakningspunkt som gör posten värd att ta med.
• Demokrati och beredskap – Hot mot förtroendevalda och offentligt anställda ökar i perioder av uppgörelser mellan kriminella nätverk. Kommuner med utsatta verksamheter bör följa läget utan att vidta åtgärder nu.

46. Datacenter i ekonomisk kris efter fall i kryptomarknaden

Klassning: C2 · K1 · N2 · omvärldsläge

Dagens industri rapporterar den 3 september 2026 att datacenter har hamnat i kris efter ett kraftigt fall i kryptomarknaden. Uppgiften är en affärsnyhet, och RiskNet redovisar den för dess betydelse för digital infrastruktur och inte för marknadsläget i sig.

Status: Tidig signal utifrån en enskild affärsnyhet. Kontrollera nästa pass om någon svensk datacenteroperatör berörs.

Källa: Dagens industri – publicerad 3 september 2026 kl. 18.12
https://www.di.se/nyheter/datacenter-i-kris-efter-kryptosmall/

• Elektroniska kommunikationer och post – Digital infrastruktur i form av datacentraltjänster är en samhällsviktig funktion. Ekonomiska problem hos datacenteroperatörer kan leda till att anläggningar avvecklas eller byter ägare, vilket berör verksamheter som köper kapacitet där genom att drift, personal och åtaganden kan förändras med kort varsel.
• Energiförsörjning – Datacenter är stora elanvändare med tecknade effektabonnemang. Snabba förändringar i deras drift påverkar lokala elnät och den planering som nätägaren gjort utifrån deras uttag.

47. Dark Reading granskar ShinyHunters påstådda intrång hos säkerhetsföretaget ReliaQuest

Klassning: C3 · K1 · N2 · omvärldsläge

Dark Reading tar den 3 september 2026 upp frågan om utpressningsgruppen ShinyHunters har brutit sig in hos säkerhetsföretaget ReliaQuest. Påståendet kommer ursprungligen från gruppen själv och är därmed en uppgift från en part med eget intresse. Dark Reading behandlar det som obekräftat, och ReliaQuest har enligt uppgifterna inte bekräftat något intrång.

Status: Tidig signal. Avgörs av att ReliaQuest själv bekräftar eller dementerar, eller av att en oberoende källa styrker intrånget. Följs i två pass till och avförs därefter om bekräftelse uteblir.

Källa: Dark Reading – publicerad 3 september 2026 kl. 21.42
https://www.darkreading.com/cybersecurity-operations/what-we-missed-did-shinyhunters-breach-reliaquest

• Elektroniska kommunikationer och post – ReliaQuest driver säkerhetsövervakning för andra organisationer. Om ett sådant företag komprometteras får angriparen insyn i övervakade miljöer, vilket är samma beroendemönster som vid angrepp i leveranskedjan. Uppgiften är obekräftad och ska inte behandlas som en händelse förrän företaget eller en oberoende källa bekräftar den.
• Ordning och säkerhet – Verksamheter som köper säkerhetsövervakning bör kunna ställa frågan till sin leverantör om denna är berörd. Att veta vilka leverantörer som har insyn i egna system är en förutsättning, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

Darkweb och läckageanspråk

Posterna nedan kommer ur clearnet-index över utpressningsgruppernas egna läckagesidor och ur kataloger över spridda inloggningsuppgifter. Det är påståenden från gärningsmän eller andrahandsuppgifter, och de klassas därför som obekräftade (K0) med låg tillförlitlighet. Rapporten redovisar att ett anspråk finns, vem som framför det och när det observerades – aldrig innehållet i en läcka. En post här är en signal att kontrollera, inte en bekräftad händelse.

D1. Utpressningsgruppen Storm listade åtta nya namn på sin läckagesida under förmiddagen

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 3 september 2026 mellan klockan 10.26 och 10.30 åtta nya namn som utpressningsgruppen Storm uppger sig ha angripit: SITES Medical, Macquarrie, Chicago Partners Wealth Advisors, Superior Ag, GSAC, GSAC Auto Financing, Star Aviation Inc och Petrocare Construction. Uppgifterna kommer från gruppens egen läckagesida och är obekräftade påståenden från gärningsmän. Ingen av de listade aktörerna är nordisk, och ingen av dem har bekräftat något angrepp. RiskNet återger inget innehåll ur någon läcka.

Status: Obekräftat påstående från gärningsmän. Kontrolleras nästa pass mot om någon av de namngivna aktörerna bekräftar ett angrepp. Inga nordiska namn i fönstret.

Källa: Ransomware.live – observerad 3 september 2026 kl. 10.26–10.30
https://www.ransomware.live/id/U0lURVMgTWVkaWNhbEBTdG9ybQ==

• Hälsa, vård och omsorg – Storm uppger sig ha angripit SITES Medical, som verkar inom medicinteknik. Om påståendet stämmer är det ytterligare ett fall där en leverantör till vården drabbas, men uppgiften är obekräftad och ska bara följas.
• Finansiella tjänster – Två av de listade namnen är finansiella aktörer. Utpressningsgrupper som publicerar åtta namn under fem minuter arbetar i regel av en kö av redan genomförda angrepp, vilket säger något om gruppens tempo men inget om påverkan på nordiska verksamheter.

D2. ShinyHunters uppger sig ha tagit fem miljoner Salesforce-poster och 541 gigabyte SharePoint-material från NeoGen Corporation

Klassning: E6 · K0 · N2 · omvärldsläge

RansomLook listade den 3 september 2026 klockan 19.23 ett anspråk där gruppen shinyhunters uppger sig ha komprometterat över fem miljoner Salesforce-poster med vissa personuppgifter och över 541 gigabyte internt SharePoint-material hos NeoGen Corporation. Uppgiften kommer från gruppens egen läckagesida och är ett obekräftat påstående från gärningsmän. NeoGen Corporation har inte bekräftat något angrepp. RiskNet återger inget innehåll ur någon läcka.

Status: Obekräftat påstående från gärningsmän. Avgörs av att NeoGen Corporation bekräftar eller dementerar. Se även den sista händelsen i huvudlistan om gruppens påstådda intrång hos ReliaQuest.

Källa: RansomLook (index över läckagesidor) – observerad 3 september 2026 kl. 19.23
https://www.ransomlook.io/group/shinyhunters

• Livsmedelsförsörjning och dricksvatten – NeoGen Corporation verkar inom livsmedelssäkerhet och djurhälsa och levererar analystjänster och testutrustning till livsmedelsindustrin, även i Europa. Om anspråket stämmer kan uppgifter om provtagning och analysresultat hos livsmedelsföretag ha exponerats. Uppgiften är obekräftad.
• Elektroniska kommunikationer och post – Anspråket beskriver uttag ur både Salesforce och SharePoint, alltså ur molntjänster och inte ur egna servrar. Det är samma mönster som gruppen har använt tidigare, och det gör att verksamheter bör kontrollera behörigheter och kopplade program i sina egna molnmiljöer även utan att vara namngivna.

D3. Space Bears listade två nya namn, bland dem en italiensk ögonmottagning

Klassning: E6 · K0 · N1 · omvärldsläge

RansomLook listade den 4 september 2026 klockan 03.31 två nya anspråk från gruppen space bears: Studio Oculistico Ciraci, en ögonmottagning i Bari i Italien som enligt beskrivningen öppnade 1989 och är ackrediterad inom det italienska hälso- och sjukvårdssystemet, samt revisionsbyrån Schwartz, Giannini, Lantsberger & Adamson i USA. Uppgifterna kommer från gruppens egen läckagesida och är obekräftade påståenden från gärningsmän. RiskNet läser bara clearnet-index och besöker inga onion-adresser, och återger inget innehåll ur någon läcka.

Status: Obekräftat påstående från gärningsmän. Anspråken observerades strax efter fönstrets slut och redovisas eftersom de är väsentliga och inte tidigare rapporterade.

Källa: RansomLook (index över läckagesidor) – observerad 4 september 2026 kl. 03.31
https://www.ransomlook.io/group/space%20bears

• Hälsa, vård och omsorg – En vårdmottagning som listas på en läckagesida betyder i praktiken att patientuppgifter kan vara i gärningsmännens händer. Mönstret att mindre vårdmottagningar utan egen säkerhetsfunktion väljs som mål är det som gör anspråket värt att redovisa, inte den enskilda mottagningen. Uppgiften är obekräftad.
• Finansiella tjänster – Revisions- och redovisningsbyråer har uppgifter om många organisationer samlade på ett ställe och återkommer ofta bland utpressningsgruppernas mål. Verksamheter som anlitar en extern redovisningsbyrå berörs genom leverantören.

D4. Vexy listade McDonald’s Ecuador och Engefitas

Klassning: D6 · K0 · N1 · omvärldsläge

Ransomware.live listade den 3 september 2026 klockan 11.54 och 14.51 två anspråk från gruppen Vexy: Engefitas och McDonald’s Ecuador, den lokala franchiseverksamheten för McDonald’s i Ecuador. RansomLook listade samma anspråk om McDonald’s Ecuador klockan 16.45; det är samma ursprungsuppgift och räknas som en källa. Uppgifterna kommer från gruppens egen läckagesida och är obekräftade påståenden från gärningsmän.

Status: Obekräftat påstående från gärningsmän. Ingen nordisk koppling.

Källa: Ransomware.live och RansomLook (samma ursprungsuppgift) – observerad 3 september 2026 kl. 11.54 och kl. 14.51
https://www.ransomware.live/id/TWNEb25hbGQncyBFY3VhZG9yQFZleHkgUmFuc29td2FyZQ==

• Livsmedelsförsörjning och dricksvatten – Anspråket rör måltidsverksamhet och livsmedelsdistribution i en franchisekedja. Verksamheter som driver storhushåll bör notera att kedjornas centrala it-stöd är ett gemensamt beroende där ett angrepp slår igenom i många enheter samtidigt. Uppgiften är obekräftad.

D5. Sju enskilda anspråk från Inc Ransom, Qilin, Insomnia, Wallstreet, Pear, Krybit och Panzer

Klassning: D6 · K0 · N1 · omvärldsläge

RansomLook listade under fönstret sju enskilda anspråk från olika grupper. Inc Ransom uppger sig ha angripit myglobal.com (observerat 3 september 2026 kl. 22.31), Qilin uppger Complete Packaging Solutions (kl. 14.33), Insomnia uppger revisionsbyrån Maglin, Miskiv & Associates i Parsippany i New Jersey (kl. 18.32), Wallstreet uppger den amerikanska livsmedelskooperativen America’s Food Basket (kl. 18.32), Pear uppger färgtillverkaren EdgeChem Jamaica Limited (kl. 16.38), Krybit uppger cancersjukhuset INCAN i Guatemala (kl. 17.25) och Panzer uppger kommunikations- och informatikförvaltningen i den indonesiska provinsen Centrala Java (kl. 17.25). Samtliga uppgifter kommer från gruppernas egna läckagesidor och är obekräftade påståenden från gärningsmän. Ingen av de listade aktörerna är nordisk.

Status: Obekräftade påståenden från gärningsmän. Sammanförda till en post enligt dedupliceringskravet. Kontrolleras nästa pass mot om någon nordisk aktör tillkommer hos dessa grupper.

Källa: RansomLook (index över läckagesidor) – observerad 3 september 2026 kl. 14.33–22.31
https://www.ransomlook.io/group/pear

• Hälsa, vård och omsorg – Krybits anspråk rör ett cancersjukhus. Angrepp mot sjukhus är den händelsetyp som ger störst direkt skada för brukare, och att grupper väljer sådana mål är den relevanta signalen för svenska regioner. Uppgiften är obekräftad.
• Demokrati och beredskap – Panzers anspråk rör en offentlig it- och kommunikationsförvaltning på provinsnivå. Det motsvarar en svensk regional förvaltning och visar att offentliga it-funktioner listas på samma villkor som företag. Uppgiften är obekräftad.
• Industri, byggande och handel – Anspråken mot en emballageleverantör och en färgtillverkare rör tillverkande industri i andra ledet av leveranskedjor. Verksamheter med få leverantörer av förpackningar eller ytbehandling berörs genom leverantörsberoendet om motsvarande angrepp träffar en nordisk aktör.

D6. Gruppen leakeddata aviserar ett kommande anspråk mot en aktör som bara anges med initialer

Klassning: E6 · K0 · N1 · omvärldsläge

RansomLook listade den 4 september 2026 klockan 00.33 ett anspråk från gruppen leakeddata där offret bara anges som initialerna P och S och där beskrivningen lyder att det ska tillkännages. Uppgiften kommer från gruppens egen läckagesida och är ett obekräftat påstående från gärningsmän. Vilken aktör som avses går inte att fastställa ur uppgiften, och RiskNet gissar inte.

Status: Obekräftat och namnlöst anspråk. Kontrolleras nästa pass mot om gruppen publicerar namnet. Avförs efter tre pass om inget namn kommer.

Källa: RansomLook (index över läckagesidor) – observerad 4 september 2026 kl. 00.33
https://www.ransomlook.io/group/leakeddata

• Elektroniska kommunikationer och post – Ett aviserat men namnlöst anspråk är den tidigaste signal som finns i den här källtypen. Det redovisas för att posten ska kunna följas när namnet publiceras, inte för att den säger något om påverkan i dag.

Berörda verksamheter i sammandrag

Elektroniska kommunikationer och post

• Händelse 1: SonicWall bekräftar aktivt utnyttjade brister i fjärråtkomstprodukten SMA1000 – CISA satte åtgärdsfrist 5 september – SMA1000 är en fjärråtkomstprodukt som kommuner, regioner och myndigheter använder för att släppa in personal och entreprenörer i interna nät. En angripare som kedjar de två bristerna kan köra kod utan inloggning på själva åtkomstpunkten och därmed nå det som ligger bakom den. Enheten står i regel exponerad mot internet, vilket gör att bristen kan utnyttjas utan fotfäste i nätet.
• Händelse 2: Autentiseringsbypass i JFrog Artifactory utnyttjas för att skapa administratörstokens – De skapade tokens och de kartlagda federerade åtkomstkopplingarna kan användas vidare mot anslutna identitetstjänster och molnmiljöer. JFrog rekommenderar omedelbar uppdatering av internetnåbara installationer, granskning av granskningsloggar, byte av exponerade autentiseringsuppgifter och kontroll av anslutna system efter bakdörrar. Ursprungsvalidering av artefakter och kontroll över vem som får administrera registret ligger i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 3: Kritisk brist i Elementor Pro utnyttjas för att ta över WordPress-webbplatser – Webbplatsen står ofta hos en webbyrå eller en driftleverantör, inte hos verksamheten själv. Bristen ska därför följas upp mot leverantören med frågan vilken version av Elementor Pro som körs och när uppdateringen till 4.2.2 eller senare gjordes. Att veta vilka tillägg som körs och vem som ansvarar för att uppdatera dem hör till NCSC:s samlade stöd för cybersäkerhet i kommuner (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).
• Händelse 4: CISA lade in sju aktivt utnyttjade sårbarheter i KEV-katalogen med åtgärdsfrist 5 september – Switchvox är en telefoniplattform. En sql-injektion utan inloggning som ger omvänt skal gör telefonisystemet till en ingång i verksamhetens nät, och samtidigt kan telefonifunktionen slås ut. Verksamheter med egen växel eller med en teleleverantör som driver Switchvox berörs genom det tekniska beroendet.
• Händelse 6: Cisco stängde kritisk brist i Nexus 9000 som ger fjärrkörning av kod som root utan inloggning – Nexus 9000 är ryggraden i datacenternät hos både myndigheter och de leverantörer som driver deras system. Fjärrkörning av kod som root på en switch ger angriparen kontroll över trafikvägarna och möjlighet att avlyssna eller styra om trafik mellan system som var för sig är välskyddade. De två portarna ligger som standard i förvaltnings-VRF, vilket gör att exponeringen beror på hur nätet är segmenterat.
• Händelse 7: Ciscos härdningsrelease för IOS XR samlar sju sårbarheter, två av dem på 9,8 – IOS XR körs i operatörsnät och i stora stamnät. Att bristerna träffar alla versioner oavsett konfiguration och saknar tillfällig åtgärd betyder att skyddet bara kan uppnås genom uppdatering, vilket kräver planerade avbrottsfönster i utrustning som normalt inte tas ur drift. Verksamheter som köper förbindelser av en operatör berör detta genom leverantören.
• Händelse 12: Myndigheten för civilt försvar: civila samhällsfunktioner står i frontlinjen för hybridhot – Digital infrastruktur nämns som angreppsmål. MCF:s beskrivning ger stöd för att behandla nät, molntjänster och datacentraltjänster som skyddsvärda i sig och inte bara som stöd till annan verksamhet.
• Händelse 15: Sql-injektion i All-in-One WP Migration berör över tre miljoner WordPress-webbplatser – Tillsammans med Elementor Pro-bristen i posten om Elementor Pro gör detta WordPress-plattformen till dygnets tydligaste tekniska beroende. En enkel förteckning över vilka publika webbplatser verksamheten äger, vem som driftar dem och vilka tillägg de kör är förutsättningen för att kunna svara på om man är berörd, i linje med NCSC:s samlade stöd för cybersäkerhet i kommuner (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/cybersakerhet-i-kommuner/).
• Händelse 16: Angripare använder den betrodda Node.js-körmiljön för att leverera skadlig kod mot myndigheter – Metoden bygger på att signerad och tillåten programvara används för att köra angriparens kod, vilket förbigår skydd som utgår från att kontrollera vad som får köras. Verksamheter som tillåter Node.js på klienter och servrar behöver komplettera med övervakning av vad körmiljön faktiskt gör, inte bara av om den får finnas.
• Händelse 17: Kinesisk kampanj Fire Ant använde komprometterade Cisco-routrar som plattform för fortsatta angrepp – Angreppet riktas mot nätutrustningen i stället för mot klienter och servrar. En router som angriparen kontrollerar utan att administratören ser det ger både avlyssning och ett fotfäste som överlever att arbetsplatserna städas. Verksamheter med äldre Cisco-utrustning i kanten av nätet berörs genom det tekniska beroendet.
• Händelse 18: Kritiska brister i Microsofts identitets- och molntjänster ger rättighetshöjning utan inloggning – Bristerna sitter i tjänster som Microsoft driver, vilket innebär att verksamheten inte kan uppdatera själv utan är beroende av leverantörens rättning. Det som återstår för verksamheten är att granska inloggningsloggar och behörigheter i den egna hyresmiljön efter oväntad rättighetshöjning.
• Händelse 26: Teams och Outlook startar inte på ARM-baserade Windows-datorer efter augustiuppdateringen – Teams och Outlook är de bärande verksamhetssystemen för kommunikation i offentlig förvaltning. Att de inte startar på nya ARM-baserade datorer efter en säkerhetsuppdatering ger bortfall av it-stöd för de medarbetare som fått ny utrustning, och det uppträder just vid nyleverans när personalen är minst självhjälpt.
• Händelse 30: Plex uppmanar till omedelbar uppdatering av mediaserver och skrivbordsklient – Plex förekommer på enheter i verksamheters nät utan att vara ett beslutat verksamhetssystem, ofta i personalutrymmen, konferensrum eller på hemarbetsplatser med tunnelanslutning. En internetexponerad mediaserver med okänd brist är en ingång som inte finns i någon systemförteckning, vilket är det som gör posten värd att ta med trots att tjänsten inte är samhällsviktig i sig.
• Händelse 31: Microsoft bekräftar att förhandsuppdateringen KB5120998 återställer skrivbordsinställningar i Windows 11 – Felet är kosmetiskt men träffar arbetsplatsdriften i stora enhetsflottor och genererar supportärenden i kommuner och regioner som lagt in förhandsuppdateringen i sin utrullning. Det viktiga för verksamheten är att veta att felet är känt och bekräftat av leverantören, så att tid inte läggs på felsökning i den egna miljön.
• Händelse 32: Phishing-kampanj mot fjärrstyrningsverktyg spänner över 46 länder med USA som största mål – Verktyg för fjärrövervakning och fjärrstyrning används av it-leverantörer för att administrera sina uppdragstagares miljöer. En angripare som kommer in i leverantörens verktyg når alla miljöer som verktyget administrerar samtidigt, vilket gör detta till ett angrepp i leveranskedjan snarare än mot en enskild verksamhet.
• Händelse 33: Microsoft: dold ASCII-text går från promptinjektion mot AI till att förbigå phishing-skydd – Tekniken bygger på tecken som inte syns för människan men som tolkas av program, vilket gör att både granskaren och filtret ser något annat än mottagarens klient. För verksamheter innebär det att utbildning i att känna igen phishing inte räcker när avvikelsen är osynlig, och att skyddet måste ligga i tekniken.
• Händelse 46: Datacenter i ekonomisk kris efter fall i kryptomarknaden – Digital infrastruktur i form av datacentraltjänster är en samhällsviktig funktion. Ekonomiska problem hos datacenteroperatörer kan leda till att anläggningar avvecklas eller byter ägare, vilket berör verksamheter som köper kapacitet där genom att drift, personal och åtaganden kan förändras med kort varsel.
• Händelse 47: Dark Reading granskar ShinyHunters påstådda intrång hos säkerhetsföretaget ReliaQuest – ReliaQuest driver säkerhetsövervakning för andra organisationer. Om ett sådant företag komprometteras får angriparen insyn i övervakade miljöer, vilket är samma beroendemönster som vid angrepp i leveranskedjan. Uppgiften är obekräftad och ska inte behandlas som en händelse förrän företaget eller en oberoende källa bekräftar den.

Ordning och säkerhet

• Händelse 1: SonicWall bekräftar aktivt utnyttjade brister i fjärråtkomstprodukten SMA1000 – CISA satte åtgärdsfrist 5 september – Ett intrång via fjärråtkomstlösningen ger en väg in i verksamhetens skyddade nät och kan bli ett säkerhetsskyddsärende hos verksamheter med säkerhetsklassad information. Ett bekräftat intrång i en sådan produkt är en betydande incident som ska rapporteras till Nationellt cybersäkerhetscenter, NCSC, via Cyberportalen enligt cybersäkerhetslagen (2025:1506). SonicWall rekommenderar att enheter med indikatorer på intrång avbildas på nytt, att alla lösenord byts och att TOTP-token återställs. Inventering av internetexponerade fjärråtkomstenheter och en fastställd rutin för brådskande uppdatering hör till det systematiska arbetet i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 4: CISA lade in sju aktivt utnyttjade sårbarheter i KEV-katalogen med åtgärdsfrist 5 september – KEV-katalogen är den mest användbara offentliga prioriteringslistan för uppdatering eftersom den bara innehåller brister där utnyttjande är belagt. Att läsa katalogen regelbundet och matcha den mot egen systeminventering är en enkel och kontrollerbar rutin i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 10: Danmarks säkerhetspolis varnar för konkreta ryska sabotageförberedelser mot dansk försvarsindustri – Bevakning och fysiskt skydd av samhällsviktig verksamhet berörs eftersom hotet riktas mot lager, fabriker och leveransflöden snarare än mot it-system. Misstänkt spaning mot en anläggning med säkerhetsskyddad verksamhet är grund för samråd med Säkerhetspolisen.
• Händelse 11: Serbien utreder organiserad grupp som misstänks ha fört sprängämnen och drönare in i EU – Utredningen pekar på en försörjningsväg för sprängämnen och drönare in i EU. Det knyter samman de enskilda drönarhändelserna i Europa med en logistikkedja och gör gränskontroll och underrättelsesamarbete till en konkret fråga snarare än en princip.
• Händelse 13: Ronneby kommun låste stadshusets huvudentré efter uppgift om hotfull incident – Skalskyddet har skärpts med väktare vid den kvarvarande entrén. Det är den konkreta åtgärden i händelsen och visar att kommunen bedömt hotet som tillräckligt allvarligt för att ändra det fysiska skyddet i flera dygn.
• Händelse 13: Ronneby kommun låste stadshusets huvudentré efter uppgift om hotfull incident – Personal och besökare i stadshuset berörs genom otrygghet och genom ändrade rutiner för ankomst. Kommunen har inte redovisat hotets innehåll, vilket gör att omfattningen inte går att bedöma utifrån öppna källor.
• Händelse 14: Hot mot skola i Katrineholm – polisen ökade närvaron vid fyra utbildningsenheter – Polisen har omfördelat resurser till bevakning av fyra platser i en kommun utifrån ett hot som man samtidigt bedömer som icke konkret. Kommunens skyldighet att underrätta berörda – elever, vårdnadshavare och personal – har fullgjorts genom pressmeddelandet.
• Händelse 16: Angripare använder den betrodda Node.js-körmiljön för att leverera skadlig kod mot myndigheter – Att statliga myndigheter uttryckligen nämns bland målen gör detta till en fråga om skydd av information i offentlig förvaltning. Kopplingen till förberedelser för utpressningsprogram som CyPro beskriver är en andrahandsuppgift och ska behandlas som sådan.
• Händelse 17: Kinesisk kampanj Fire Ant använde komprometterade Cisco-routrar som plattform för fortsatta angrepp – Att aktiviteten aktivt döljs för administratörer innebär att avsaknad av larm inte är samma sak som att utrustningen är ren. Logginsamling från nätutrustning till en plats utanför utrustningen själv är den åtgärd som gör skillnad, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 18: Kritiska brister i Microsofts identitets- och molntjänster ger rättighetshöjning utan inloggning – En bekräftad obehörig rättighetshöjning i identitetstjänsten kan vara en betydande incident som ska rapporteras till NCSC via Cyberportalen enligt cybersäkerhetslagen (2025:1506), och en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.
• Händelse 20: Thomson Reuters uppger att domstolsdata i minst tolv delstater och Kanada exponerats i intrång mot C-Track – Dömande och rättsvårdande verksamhet berörs genom att förseglat material har legat hos en systemleverantör och exponerats där. Fallet visar hur ett domstolsväsende kan förlora kontrollen över den mest skyddsvärda informationen utan att något brister i domstolens egna nät – Thomson Reuters framhåller uttryckligen att intrånget skedde i företagets egen miljö.
• Händelse 21: Aesto Health uppger att dataintrång i AWS-miljö berör 9 540 683 personer – Motsvarande händelse i Sverige skulle vara en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten inom 72 timmar och sannolikt en betydande incident att rapportera till NCSC via Cyberportalen. Fallet är ett argument för att avtala rätten att bli underrättad utan dröjsmål och att kunna kräva besked om omfattning, vilket ligger i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 22: Sabotage mot valskyltar i Blekinge – parti utlovar 10 000 kronor i belöning – Kommunerna ansvarar för uppsättning och tillsyn av valskyltar på allmän plats och kan behöva öka tillsynen. Anmälan till polis och rapportering av incidenter till länsstyrelsen och Valmyndigheten är den etablerade vägen.
• Händelse 28: Misstänkt farligt föremål i Helsingborg visade sig ofarligt – Avspärrning och avlysning är den åtgärd som utförts. Att föremålet var ofarligt kontrollerades och avfördes inom några timmar, vilket är det som gör att posten kan avslutas i stället för att följas.
• Händelse 34: Angrepp med AI-agenter kortade förloppet från två veckor till tio timmar – Om tiden från intrång till kryptering krymper till en arbetsdag räcker det inte att upptäcka angrepp inom ett dygn. Det påverkar hur beredskapen för it-incidenter ska bemannas: jourtid och mandat att koppla ned system måste finnas när larmet går, inte nästa morgon.
• Händelse 35: Pegasus-spionprogram infekterade mobiltelefon hos medlem i serbisk studentrörelse utan användarinteraktion – Kommersiellt spionprogram som når in i en telefon utan interaktion gör mobil åtkomst till verksamhetens system till en fråga om säkerhetsskydd och inte bara om bekvämlighet.
• Händelse 36: Polisen kamerabevakade med drönare i Landskrona och Malmö – Notiserna är egen myndighetsverksamhet och inte en avvikelse, men de har praktisk betydelse för lägesbilden: när polisen själv flyger drönare i ett område kommer inrapporterade drönarobservationer från allmänheten sannolikt att öka. Verksamheter i Malmö och Landskrona som rapporterar drönarobservationer bör kontrollera mot polisens egna notiser innan en observation behandlas som en incident.
• Händelse 38: Arbetsplatsolycka i Insjön – person klämd på lastbilsflak vid avfallsanläggning – Arbetsplatsolyckor med klämskada ska anmälas till Arbetsmiljöverket och kan leda till tillsynsärende. Notisens ortsangivelse är motstridig – rubriken anger Nacka men texten anger Insjön – vilket bör kontrolleras innan uppgiften används vidare.
• Händelse 41: Polisen varnar för bedragare som utger sig för att vara döva och tar sig in i äldres bostäder – Brottsförebyggande arbete i samverkan mellan kommun och polis berörs. Varningen kräver ingen åtgärd i verksamhetens system men bör gå ut i berörda utförarorganisationer.
• Händelse 42: Studsvik har valt reaktortyp och siktar på elleverans i mitten av 2030-talet – En ny kärnteknisk anläggning innebär säkerhetsskyddad verksamhet och tillståndsprövning, vilket i sin tur ställer krav på bevakning och fysiskt skydd av samhällsviktig verksamhet under hela uppbyggnaden.
• Händelse 45: Svensk gängtopp gripen i Rumänien – Dömande och rättsvårdande verksamhet berörs genom ett internationellt gripande med efterföljande överlämnandeärende. Gripanden av personer i ledande ställning i kriminella nätverk har tidigare följts av våldsvågor i Sverige, vilket är den bevakningspunkt som gör posten värd att ta med.
• Händelse 47: Dark Reading granskar ShinyHunters påstådda intrång hos säkerhetsföretaget ReliaQuest – Verksamheter som köper säkerhetsövervakning bör kunna ställa frågan till sin leverantör om denna är berörd. Att veta vilka leverantörer som har insyn i egna system är en förutsättning, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).

Industri, byggande och handel

• Händelse 2: Autentiseringsbypass i JFrog Artifactory utnyttjas för att skapa administratörstokens – Artifactory är ett artefaktregister i mjukvaruleveranskedjan. En angripare med administratörsbehörighet kan lägga in en manipulerad artefakt som sedan hämtas av verksamhetens egna byggflöden, vilket gör bristen till ett angrepp i leveranskedjan snarare än en isolerad serverbrist. Verksamheter som utvecklar egna system eller köper utveckling av en leverantör med självdriftad Artifactory berörs genom leverantören.
• Händelse 6: Cisco stängde kritisk brist i Nexus 9000 som ger fjärrkörning av kod som root utan inloggning – Verksamheter som köper datacentertjänst berörs genom leverantören och inte genom egen utrustning. Frågan till leverantören bör vara vilken NX-OS-version som körs, om Silicon One-baserade modeller ingår och när rättningen läggs in. Att kunna ställa den frågan förutsätter en aktuell förteckning över tekniska beroenden hos tredje part, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 9: Nationella säkerhetsrådet sammankallat efter drönaren i Leipzig – Must ser högt hot mot svenskt Ukrainastöd – Att hotet uttryckligen omfattar privata företag flyttar frågan från myndighetssfären till försvarsindustrins leveranskedjor. Underleverantörer som levererar materiel, transporter eller tjänster kopplade till Ukrainastödet bör räkna med kartläggning av lager, leveranstider och personal.
• Händelse 10: Danmarks säkerhetspolis varnar för konkreta ryska sabotageförberedelser mot dansk försvarsindustri – Metoden som PET beskriver – att rekrytera privatpersoner för spaning och brandanläggning mot industrianläggningar – är direkt överförbar till svenska underleverantörer i försvarsindustrins leveranskedjor. Skyddet handlar mindre om skalskydd och mer om att personal känner igen och rapporterar spaning, fotografering och udda förfrågningar om leveranstider.
• Händelse 19: Elva kritiska brister i MOOS och MOOS-IvP – styrprogramvaran för autonoma marina farkoster – Svenska tillverkare och forskningsmiljöer inom marin autonomi använder plattformen. Bristerna ligger i öppen programvara som byggs in i egna system, vilket gör detta till en fråga om mjukvaruleveranskedjan och om vilka komponenter man vet att man använder.
• Händelse 32: Phishing-kampanj mot fjärrstyrningsverktyg spänner över 46 länder med USA som största mål – Verksamheter som köper it-drift bör kunna svara på vilket fjärrstyrningsverktyg leverantören använder och om åtkomsten skyddas med flerfaktorsautentisering. Frågan hör till kontrollen av tredjepartsberoenden i NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 40: Brand på Höglandssågen i Örnsköldsvik – Ett sågverk är en industrianläggning i den träförädlande leveranskedjan. En brand ger produktionsbortfall och kan påverka leveranser av byggmaterial till bygg och anläggning i regionen. Sågverk har hög brandbelastning och kräver stora räddningsinsatser.

Demokrati och beredskap

• Händelse 3: Kritisk brist i Elementor Pro utnyttjas för att ta över WordPress-webbplatser – Kommuner, regioner och myndigheter publicerar nyheter och samhällsinformation på WordPress, och Elementor Pro är ett av de vanligaste sidbyggartilläggen. Ett webbskal på webbplatsen ger angriparen möjlighet att ändra publicerad information, lägga in vidarekopplingar eller använda servern som fotfäste, vilket direkt träffar funktionen nyheter och samhällsinformation. Under en valrörelse är förvanskad information på en kommunal webbplats en förtroendefråga och inte bara ett driftproblem.
• Händelse 9: Nationella säkerhetsrådet sammankallat efter drönaren i Leipzig – Must ser högt hot mot svenskt Ukrainastöd – Must:s beskrivning av syftet – att skapa osäkerhet och splittring – är psykologiskt försvar snarare än fysiskt skydd. Verksamheter som lämnar samhällsinformation bör räkna med försök till otillbörlig informationspåverkan i anslutning till konkreta händelser.
• Händelse 12: Myndigheten för civilt försvar: civila samhällsfunktioner står i frontlinjen för hybridhot – MCF pekar ut kombinationen av fysiska angrepp och informationspåverkan som mönstret att planera mot. Det innebär att en driftstörning i el, transport eller vård måste hanteras samtidigt med kommunikation utåt, och att de två inte kan skiljas i beredskapsplaneringen.
• Händelse 13: Ronneby kommun låste stadshusets huvudentré efter uppgift om hotfull incident – Ett stadshus som låser sin huvudentré under pågående förtidsröstning är en synlig inskränkning i tillgängligheten till offentlig förvaltning. Kommunen uppger att förtidsröstningen inte påverkas, men åtgärden sker i en period när valadministrationen är särskilt beroende av att allmänheten kan komma in. Hot mot förtroendevalda och mot valadministrationen hör till psykologiskt försvar och ska följas.
• Händelse 15: Sql-injektion i All-in-One WP Migration berör över tre miljoner WordPress-webbplatser – Tillägget används för säkerhetskopiering och flytt av WordPress-webbplatser, alltså på just de webbplatser där kommuner och myndigheter publicerar samhällsinformation. En sql-injektion som leder till kodkörning ger angriparen kontroll över webbplatsen och över de säkerhetskopior som tillägget hanterar, vilket träffar både publicering och möjligheten att återställa.
• Händelse 22: Sabotage mot valskyltar i Blekinge – parti utlovar 10 000 kronor i belöning – Allmänna val och skyddet av valrörelsen berörs direkt. Skadegörelse mot valskyltar är i sig lågt räknat, men mängden incidenter är det mått Valmyndigheten och länsstyrelserna följer under en valrörelse, och en privat belöning för att peka ut gärningspersoner riskerar att flytta konflikten från polis till enskilda.
• Händelse 27: EU kallade upp Rysslands sändebud efter drönarangreppet mot Leipzig/Halle – Den diplomatiska hanteringen är en del av omvärldsläget och ger sammanhang till Must:s bedömning i posten om Must:s bedömning. Den ger ingen ny svensk åtgärdspunkt i sig.
• Händelse 33: Microsoft: dold ASCII-text går från promptinjektion mot AI till att förbigå phishing-skydd – Samma teknik kan användas för att lägga in dolda instruktioner i material som behandlas av AI-stöd i offentlig förvaltning. Det är en fråga att ta med när AI-tjänster införs i ärendehandläggning.
• Händelse 35: Pegasus-spionprogram infekterade mobiltelefon hos medlem i serbisk studentrörelse utan användarinteraktion – Angrepp mot mobiltelefoner hos aktivister och journalister utan att användaren gör något är den svåraste formen att skydda sig mot. Hot mot journalister och förtroendevalda hör till psykologiskt försvar, och fallet är ett skäl att se över hur förtroendevalda och personal med skyddsvärda uppgifter använder egna mobiltelefoner.
• Händelse 44: Forskare bedömer att Ryssland sannolikt planerar en attack mot Nato – Forskarbedömningar av rysk krigsplanering används i informationspåverkan i båda riktningarna. Verksamheter som kommunicerar om beredskap bör hålla isär myndighetsbedömning och forskarbedömning i sin egen kommunikation.
• Händelse 45: Svensk gängtopp gripen i Rumänien – Hot mot förtroendevalda och offentligt anställda ökar i perioder av uppgörelser mellan kriminella nätverk. Kommuner med utsatta verksamheter bör följa läget utan att vidta åtgärder nu.

Energiförsörjning

• Händelse 5: Strömavbrott i västra Stockholms innerstad slog ut tunnelbanans blå linje – Avbrottet träffade eldistributionen i en tät del av Stockholm med både bostäder, kontor och offentlig verksamhet. Verksamheter i området fick sitt elberoende prövat i skarpt läge, och avbrott på cirka trettio minuter räcker för att slå ut it-stöd som saknar avbrottsfri kraft. Orsaken är inte redovisad, vilket gör att risken för upprepning inte går att bedöma.
• Händelse 12: Myndigheten för civilt försvar: civila samhällsfunktioner står i frontlinjen för hybridhot – Energiförsörjningen nämns först bland de sektorer som angripits i Polen. Det stärker underlaget för att prioritera skydd av ställverk, driftövervakning och reservkraft.
• Händelse 29: Åskoväder slog ut strömmen för cirka 580 anslutningar i Jörn – Eldistributionen i en glesbygdsort slogs ut av väder. Omfattningen är begränsad, men den här typen av avbrott träffar ofta enskilda vårdtagare med hemtjänst och trygghetslarm som är beroende av el, och avbrott efter åska tenderar att vara oregelbundna med upprepade bortfall under åtgärdsarbetet.
• Händelse 37: SMHI varnade för kuling över sydöstra Östersjön – Vind i det intervallet påverkar produktionen i havsbaserad vindkraft och kan begränsa åtkomsten för underhållsfartyg.
• Händelse 42: Studsvik har valt reaktortyp och siktar på elleverans i mitten av 2030-talet – Ny kärnkraftskapacitet påverkar elförsörjningen på lång sikt och därmed planeringsförutsättningarna för verksamheter med stort elberoende. Posten är omvärldsläge och kräver ingen åtgärd nu, men den hör till bilden av hur elförsörjningen utvecklas.
• Händelse 46: Datacenter i ekonomisk kris efter fall i kryptomarknaden – Datacenter är stora elanvändare med tecknade effektabonnemang. Snabba förändringar i deras drift påverkar lokala elnät och den planering som nätägaren gjort utifrån deras uttag.

Transporter

• Händelse 5: Strömavbrott i västra Stockholms innerstad slog ut tunnelbanans blå linje – Blå linjen stoppades helt under avbrottet. Kollektivtrafiken i Stockholm är ett beroende för personalförsörjningen i vård, omsorg, skola och räddningstjänst i hela länet, och ett stopp på en stomlinje mitt på dagen slår igenom på personalens möjlighet att komma till och från arbetet.
• Händelse 10: Danmarks säkerhetspolis varnar för konkreta ryska sabotageförberedelser mot dansk försvarsindustri – Att kartlägga när en anläggning tar emot leveranser pekar på transportkedjan som angreppsyta. Åkerier och terminaler som kör mot försvarsindustrin bör räkna in detta i sin egen riskbild.
• Händelse 11: Serbien utreder organiserad grupp som misstänks ha fört sprängämnen och drönare in i EU – Terminaler och hamnar är den punkt där sådan materiel passerar. Verksamheter i godsflödet berörs genom kontrollkrav och genom risken att användas som ovetande transportled.
• Händelse 19: Elva kritiska brister i MOOS och MOOS-IvP – styrprogramvaran för autonoma marina farkoster – Sjötransporter och hamnar berörs på sikt genom att samma programvarufamilj används i autonom sjöfart och i mätfarkoster som kartlägger farleder.
• Händelse 24: Signalfel stoppade tågtrafiken mellan Nässjö och Falköping – ersättningsbussar uteblev – Landtransporter på järnväg och kollektivtrafik slogs ut på en sträcka som binder samman Jönköpings och Västra Götalands län. Att ersättningstrafiken uteblev är den allvarligare delen: när tågen ställs in utan att bussar sätts in står resenärerna kvar, och personalförsörjningen till verksamheter i orterna längs sträckan drabbas under hela arbetsdagen.
• Händelse 27: EU kallade upp Rysslands sändebud efter drönarangreppet mot Leipzig/Halle – En sprängmedelslastad drönare inne på ett flygplatsområde är en angreppsform som svenska lufttransporter och terminaler skyddas mot med samma slags åtgärder – detektering, avspärrning och rutiner för att stoppa trafik. Att flera europeiska stater nu behandlar händelsen som statligt understödd höjer den nivå av hot som flygplatsers skyddsplanering behöver utgå från.
• Händelse 37: SMHI varnade för kuling över sydöstra Östersjön – Kuling över sydöstra Östersjön berör sjötransporter och färjetrafik. En gul varning innebär inte inställd trafik, men den påverkar lastsäkring, tidhållning och möjligheten att genomföra arbete på öppet vatten.
• Händelse 39: Trafikolycka i Märsta – två personer allvarligt skadade när lastbil och personbil kolliderade – Landtransporter på väg berörs genom avstängning och omledning i ett område med tung trafik mot Arlanda. Två allvarligt skadade personer binder ambulans- och räddningsresurser i Stockholms län under förmiddagen.

Räddningstjänst och skydd av civilbefolkningen

• Händelse 5: Strömavbrott i västra Stockholms innerstad slog ut tunnelbanans blå linje – Ett strömavbrott i tät stadsbebyggelse ökar belastningen på larmvägar och hisslarm. Händelsen är ett tillfälle att kontrollera att reservkraft och avbrottsfri kraft i egna lokaler faktiskt gick in som planerat.
• Händelse 24: Signalfel stoppade tågtrafiken mellan Nässjö och Falköping – ersättningsbussar uteblev – Ett signalfel i järnvägens styrsystem är en teknisk störning utan antagonist, men den visar hur snabbt kollektivtrafiken tappar funktion när ett enskilt tekniskt system faller bort och reservtrafiken inte hinner sättas upp.
• Händelse 26: Teams och Outlook startar inte på ARM-baserade Windows-datorer efter augustiuppdateringen – Verksamheter som använder Teams för samverkan i stabsarbete bör kontrollera att inte de datorer som är avsedda för krisorganisationen är av den berörda typen.
• Händelse 28: Misstänkt farligt föremål i Helsingborg visade sig ofarligt – Larmet band räddningstjänst och polis under eftermiddagen och avspärrningar i Berga påverkade framkomligheten. Händelsen avslutades utan konsekvens men hör till det mönster av bombhot och misstänkta föremål som återkommande belastar blåljusverksamheten.
• Händelse 29: Åskoväder slog ut strömmen för cirka 580 anslutningar i Jörn – Trygghetslarm och telefoni i området kan påverkas när elen försvinner. Kommunens rutin för att nå brukare med batteridrivna larm bör prövas mot ett avbrott av den här längden.
• Händelse 40: Brand på Höglandssågen i Örnsköldsvik – Räddningstjänsten i Örnsköldsvik band resurser under morgonen. Industribränder i sågverk är långvariga insatser med risk för att släckvatten behöver hanteras.

Livsmedelsförsörjning och dricksvatten

• Händelse 8: Vattenläcka i Örebro stängde av vattnet i flera gator under natten – Dricksvattenförsörjningen bröts i ett bostadsområde och trycket i ledningsnätet förändrades. Tryckfall är den vanliga vägen in för föroreningar i ett distributionsnät, och kommunens egen uppmaning att spola kallvatten visar att vattenkvaliteten inte var säkerställd direkt efter återställningen. Verksamheter med måltidsverksamhet i området – förskolor, skolor och omsorgsboenden – kan ha behövt ställa om utan förvarning eftersom informationen gick ut mitt i natten.
• Händelse 23: Risk för vattenbrist i Västmanland – Dricksvattenförsörjningen i länet är ansträngd. Vattenbrist är en långsam avvikelse som först syns som restriktioner och som i förvärrat läge påverkar måltidsverksamhet, livsmedelstillverkning och primärproduktion. Kommunala huvudmän behöver ha beslutade nivåer för när förbud införs och hur berörda underrättas.
• Händelse 38: Arbetsplatsolycka i Insjön – person klämd på lastbilsflak vid avfallsanläggning – Avfallshantering är en samhällsviktig funktion under Livsmedelsförsörjning och dricksvatten. En personskada vid en avfallsanläggning ger personalbortfall och kan leda till att anläggningen delvis stängs under utredning, vilket påverkar avfallsflödet i kommunen.

Hälsa, vård och omsorg

• Händelse 8: Vattenläcka i Örebro stängde av vattnet i flera gator under natten – Vårdboenden och hemtjänst i det berörda området är beroende av rinnande vatten för hygienrutiner. En avbruten vattenförsörjning under natten prövar verksamhetens plan för nödvatten och för att kunna nå berörda brukare med information i tid.
• Händelse 12: Myndigheten för civilt försvar: civila samhällsfunktioner står i frontlinjen för hybridhot – Sjukvården pekas ut som angripen sektor. För regioner innebär det att hybridhot bör ingå i den egna kontinuitetsplaneringen, inte bara i den nationella lägesbilden.
• Händelse 21: Aesto Health uppger att dataintrång i AWS-miljö berör 9 540 683 personer – Hälso- och sjukvårdsuppgifter om 9,5 miljoner personer har exponerats genom en leverantör som 29 vårdgivare delade. Det är samma beroendemönster som svenska regioner har mot sina systemleverantörer, där ett intrång hos en leverantör slår igenom hos alla som köper tjänsten samtidigt. Att intrånget skedde i december 2025 och först bekräftades i maj 2026 visar hur lång tid det kan ta innan en vårdgivare får veta att den är berörd.
• Händelse 23: Risk för vattenbrist i Västmanland – Vårdboenden och tandvård är beroende av säker vattenkvalitet och tillräckligt tryck. En övergång till nödvatten är en planeringsfråga som bör vara löst innan bristen blir akut.
• Händelse 25: Integritetsskyddsmyndigheten granskar ett it-företag utifrån kreditupplysningslagen och dataskyddsförordningen – IMY:s samtidiga vägledning för AI-projekt i vård och omsorg är den handfasta delen för regioner och kommuner som planerar AI-stöd i vården, och den bör läsas innan projekt startar snarare än efteråt.
• Händelse 34: Angrepp med AI-agenter kortade förloppet från två veckor till tio timmar – Vård och omsorg har låg tolerans för avbrott och långa återställningstider. En kortare angreppscykel gör att kontinuitetsplanen behöver kunna aktiveras utan att man först väntar in en fullständig bild av läget, i linje med NCSC:s metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
• Händelse 39: Trafikolycka i Märsta – två personer allvarligt skadade när lastbil och personbil kolliderade – Hälso- och sjukvården tar emot två allvarligt skadade, vilket belastar akutmottagning och eventuellt intensivvård.
• Händelse 41: Polisen varnar för bedragare som utger sig för att vara döva och tar sig in i äldres bostäder – Socialtjänst och hemtjänst möter brukargruppen direkt i deras bostäder och är den funktion som kan sprida varningen effektivt. Hemtjänstpersonal bör kunna svara på hur en brukare kontrollerar en okänd besökare, och rutinen för legitimering av personal bör vara tydlig för att inte bedragare ska kunna använda den mot brukarna.
• Händelse 43: Varning: tandvårdsreform kan kosta 16 miljarder kronor – Tandvård är en av de viktiga samhällsfunktionerna under Hälsa, vård och omsorg. En reform av den storleken påverkar regionernas planering av tandvårdsuppdraget och bemanningen på sikt.

Militärt försvar

• Händelse 9: Nationella säkerhetsrådet sammankallat efter drönaren i Leipzig – Must ser högt hot mot svenskt Ukrainastöd – Must:s bedömning är den högsta officiella svenska lägesbilden i fönstret och pekar ut Ukrainastödet som hotobjekt. Bedömningen ger grund för höjd vaksamhet i planeringen utan att någon konkret händelse i Sverige har inträffat.
• Händelse 19: Elva kritiska brister i MOOS och MOOS-IvP – styrprogramvaran för autonoma marina farkoster – MOOS-IvP är den vanligaste öppna autonomiplattformen för obemannade undervattens- och ytfarkoster i forskning och försvarstillämpningar. Att fordonsbussen saknar autentisering och att vilken publicerare som helst kan konfigurera om nätvägar innebär att en angripare med nätåtkomst kan styra farkosten eller mata in falska lägesuppgifter. Ubåtsjakt och undervattensövervakning i Östersjön bygger i ökande grad på sådana farkoster.
• Händelse 44: Forskare bedömer att Ryssland sannolikt planerar en attack mot Nato – Bedömningen är omvärldsläge och kräver ingen åtgärd. Den redovisas för att den ligger i samma fönster som Must:s bedömning och kan komma att citeras vidare som om den vore en officiell hotbild, vilket den inte är.

Utrikeshandel

• Händelse 11: Serbien utreder organiserad grupp som misstänks ha fört sprängämnen och drönare in i EU – Om materielen förs in genom ordinarie godsflöden berörs exportkontroll och tullhantering. Transportörer och terminaler kan komma att möta skärpta kontroller.

Förskola, utbildning och forskning

• Händelse 14: Hot mot skola i Katrineholm – polisen ökade närvaron vid fyra utbildningsenheter – Fyra utbildningsenheter driver skolverksamhet under förhöjt skyddsbehov med polis på plats. Utbildning och omsorg av barn och elever påverkas direkt genom oro hos elever och vårdnadshavare och genom att personal binds till säkerhetsrutiner i stället för undervisning.

Legitimering

• Händelse 18: Kritiska brister i Microsofts identitets- och molntjänster ger rättighetshöjning utan inloggning – Entra ID och Azure AD B2C är de identitetstjänster som styr inloggning till offentliga e-tjänster och interna system. En förbigång av autentisering i identitetstjänsten är den brist som får störst spridning eftersom allt annat skydd bygger på att inloggningen håller. Funktionen legitimering och signering berörs därför direkt.
• Händelse 20: Thomson Reuters uppger att domstolsdata i minst tolv delstater och Kanada exponerats i intrång mot C-Track – Läckta körkortsnummer och personnummer är underlag för identitetsmissbruk. Motsvarande händelse i Sverige skulle vara en personuppgiftsincident som ska anmälas till Integritetsskyddsmyndigheten.

Försörjning av grunddata

• Händelse 20: Thomson Reuters uppger att domstolsdata i minst tolv delstater och Kanada exponerats i intrång mot C-Track – Person-, adress- och hälsouppgifter i stor mängd har exponerats genom en leverantörs plattform. Svenska verksamheter som lagt ärendehantering hos en internationell leverantör bör läsa fallet som en fråga om vilka avtalade rättigheter man har att få veta omfattningen – här har leverantören efter drygt två månader inte uppgett hur många personer som berörs.
• Händelse 25: Integritetsskyddsmyndigheten granskar ett it-företag utifrån kreditupplysningslagen och dataskyddsförordningen – Granskningen rör hanteringen av person- och företagsuppgifter. Utfallet kan påverka vilka uppgifter som får lämnas ut och i vilken form, vilket berör alla verksamheter som bygger beslut på kreditupplysning.

Finansiella tjänster

• Händelse 25: Integritetsskyddsmyndigheten granskar ett it-företag utifrån kreditupplysningslagen och dataskyddsförordningen – Kreditupplysningsverksamhet är en förutsättning för finansiering och kreditbedömning. En tillsyn som prövar hur ett it-företag hanterar kreditupplysningsuppgifter kan leda till förelägganden som ändrar villkoren för de verksamheter som köper uppgifterna.

Ekonomisk säkerhet

• Händelse 43: Varning: tandvårdsreform kan kosta 16 miljarder kronor – Finansiering av offentlig verksamhet berörs genom kommunavräkning och statliga ersättningar om reformen genomförs. Posten är omvärldsläge och innebär ingen åtgärd nu.

Bedömning

Det mest brådskande i fönstret är åtgärdsfristen 5 september för de sju sårbarheterna i CISA:s katalog. SonicWall SMA1000 väger tyngst eftersom produkten står internetexponerad och är vägen in i interna nät; över 400 enheter är enligt Shadowserver nåbara från internet och SonicWall har ännu inte publicerat indikatorer på intrång. JFrog Artifactory och de två WordPress-bristerna hör ihop som en gemensam fråga: vilka system verksamheten faktiskt kör och vem som ansvarar för att uppdatera dem. Utan en aktuell förteckning går ingen av bristerna att svara på. Must:s bedömning flyttar hotbilden mot Ukrainastödet från principfråga till planeringsförutsättning, och PET:s beskrivning av hur privatpersoner rekryteras för spaning och brandanläggning ger den konkreta metoden att utbilda personal mot. De svenska driftstörningarna – strömavbrottet i Stockholm, vattenläckan i Örebro, signalfelet mellan Nässjö och Falköping och åskavbrottet i Jörn – har alla åtgärdats, men ingen av dem har fått en redovisad orsak. Det gör att risken för upprepning inte går att bedöma, och att de bör följas. Ronnebys låsta stadshus och hotet mot skolorna i Katrineholm inträffar under pågående förtidsröstning. Bedömningen är att fler incidenter mot valadministration och skolor är sannolika fram till valdagen, och att kommunerna bör ha en beslutad väg för att rapportera dem till länsstyrelsen och Valmyndigheten. Darkwebavsnittet innehåller 21 anspråk från tolv grupper, sammanförda till sex poster. Ingen nordisk aktör förekommer i fönstret. Det är den viktigaste enskilda uppgiften i avsnittet och bör läsas som ett läge, inte som en trygghet. Till nästa pass följs: SonicWalls indikatorlista, om NCSC eller CERT-SE går ut med egen rådgivning om KEV-posterna, orsaken till strömavbrottet i Stockholm, vad den hotfulla incidenten i Ronneby bestod i, och om ReliaQuest bekräftar eller dementerar ShinyHunters påstådda intrång.

Så läser du klassningen

Varje händelse har en kod på formen B2 · K1 · N3 · leverantörsberoende. Den skiljer tre saker åt: vem som uppger något, hur väl det är styrkt och vad det betyder för de verksamheter som bevakas.

Källtillförlitlighet A–F

Bedömer källan, inte uppgiften. Följer Admiralty-skalan.

• A – Helt tillförlitlig – ansvarig myndighet om sitt eget område, drabbad organisation om sin egen verksamhet, domstol, officiell rapport.
• B – Vanligen tillförlitlig – etablerad redaktion med egen rapportering, erkänt säkerhetsföretag, nyhetsbyrå på plats.
• C – Ganska tillförlitlig – lokalmedia, branschmedia, mindre analysföretag, namngiven expert utan egen insyn.
• D – Sällan tillförlitlig – aggregator, part i saken, anonym blogg, kanal som återger andras uppgifter utan egen kontroll.
• E – Otillförlitlig – kanal med känd historik av vilseledning, gärningsmäns egna kanaler, konton som driver en kampanj.
• F – Går inte att bedöma – ny eller okänd källa utan spårbar historik.

Uppgiftens riktighet 1–6

Bedömer själva uppgiften, oberoende av källans rykte. Kopior räknas inte som oberoende källor.

• 1 – Bekräftad – ansvarig aktör bekräftar, eller minst två av varandra oberoende källor.
• 2 – Sannolikt sann – stämmer med annan känd information, men ingen bekräftar än.
• 3 – Möjligen sann – delvis stödd, väsentliga delar obestyrkta.
• 4 – Tveksam – motsägs delvis av annan information.
• 5 – Osannolik – motsägs av tillförlitlig information.
• 6 – Går inte att bedöma.

Bekräftelsegrad K0–K3

Ett läsbart komplement till bokstavskoden.

• K0 – Obekräftat påstående från en enda part, ofta med eget intresse.
• K1 – En oberoende källa rapporterar.
• K2 – Två eller fler oberoende källor rapporterar.
• K3 – Bekräftat av ansvarig aktör, drabbad organisation eller myndighet.

Påverkansnivå N1–N4

Avser de verksamheter som bevakas.

• N1 – Omvärldsläge – allmän omvärldsbild utan direkt koppling till driften.
• N2 – Observation – kan beröra sektorn på sikt, ingen åtgärd nu.
• N3 – Förhöjd – berör konkret en verksamhetstyp, en leverantör eller ett tekniskt beroende. Åtgärd bör övervägas i dag.
• N4 – Akut – pågående eller omedelbar påverkan, åtgärd nu, kan utlösa rapporteringsplikt.

Relevansgrund – varför händelsen berör

Ett av sju värden anges sist i koden.

• direkt verksamhetspåverkan – En bevakad verksamhetstyp påverkas här och nu.
• leverantörsberoende – Påverkan går via en leverantör eller underleverantör.
• tekniskt beroende – Påverkan går via en produkt, tjänst eller teknik som används i verksamheten.
• liknande verksamhet drabbad – Samma typ av verksamhet har drabbats någon annanstans.
• regel och tillsyn – Nya krav, beslut eller tillsyn styr verksamheten.
• geografisk närhet – Händelsen inträffar i ett område där verksamhet bedrivs.
• omvärldsläge – Bakgrund som förändrar hotbilden utan direkt koppling till driften.

Ordval för egna bedömningar

Bedömningar skrivs med fast ordlista och hålls skilda från vad källan uppger.

• Mycket osannolikt – under 10 %
• Osannolikt – 10 till 25 %
• Möjligt – 25 till 50 %
• Sannolikt – 50 till 75 %
• Mycket sannolikt – 75 till 90 %
• Nära säkert – över 90 %