RiskNet Kvällsrapport – torsdag 3 september 2026

Fönster 14.00–22.00

Kvällen ger fyra kritiska brister i utrustning och programvara som finns i svenska verksamhetsnät. Cisco uppger att tio switchmodeller i Nexus 9000-serien kan ge kodkörning som root utan inloggning, HPE korrigerar en motsvarande brist i ArubaOS-CX, och bristen i tillägget Elementor Pro till WordPress utnyttjas redan för att lägga webbskal på webbplatser – Wordfence uppger att över 190 000 försök blockerats sedan den 19 augusti. Thomson Reuters uppger nu att socialförsäkringsnummer och förseglade domstolshandlingar kan ha ingått i intrånget, och från Storbritannien publicerades uppgifter om 8,8 miljoner personer efter att Manchester Airports Group vägrat betala. I Sverige ökar polisen närvaron vid fyra skolor i Katrineholm efter ett hot, och danska säkerhetspolisen PET varnar för att ryska sabotageförberedelser mot Danmark är mycket konkreta och riktade mot försvarsindustrin.

Nyckeltal: 17 händelser, varav 0 akuta (N4) och 8 förhöjda (N3). 12 av 17 bevakade verksamheter berörs.

Händelser

1. Kritisk brist i Cisco Nexus 9000 ger fjärrkörning som root utan inloggning

Klassning: B1 · K3 · N3 · tekniskt beroende

Cisco uppger att tio Silicon One-baserade switchar i Nexus 9000-serien har en brist som gör att en tjänst binder till en obegränsad adress, vilket öppnar TCP-portarna 43210 och 43211 i standardinstansen för Layer 3 virtual routing and forwarding. Bristen har beteckningen CVE-2026-20212 och CVSS 9,8. En angripare som når någon av portarna kan enligt Cisco skicka manipulerad indata som körs som kod med root-behörighet, och ett misslyckat försök kan krascha processen S1HAL så att enheten laddas om. Cisco uppger att bolaget vid offentliggörandet den 2 september inte kände till någon skadlig användning. Berörda versioner sträcker sig enligt The Hacker News från NX-OS 10.3(1) till 10.6(3s). Nexus 9000 i Application Centric Infrastructure-läge samt Nexus 3000- och 7000-serierna berörs inte.

Status: Följ upp: inventera vilka Nexus 9000-modeller som körs och om portarna 43210 och 43211 är nåbara från något annat nät.

Källa: The Hacker News – publicerad 3 september 2026 kl. 17.52
https://thehackernews.com/2026/09/critical-cisco-nexus-9000-flaw-lets.html

Elektronisk kommunikation och it-drift – Nexus 9000 används som kärnswitch i datacenter och i större verksamhetsnät. Kodkörning som root på en kärnswitch ger kontroll över trafikflödet i hela nätet, inte bara över en enskild tjänst. Cisco anger ingen samlad tabell över korrigerade versioner och hänvisar till sin Software Checker.
Informations- och cybersäkerhet – Cisco anger två tillfälliga skydd i väntan på uppgradering: blockera de två portarna med en åtkomstkontrollista för infrastruktur och aktivera det tillfälliga Live Protect-skyddet. Att avgränsa administrativa gränssnitt från produktionsnät är en av de grundläggande åtgärderna i Nationellt cybersäkerhetscenters metodstöd för informationssäkerhetsarbete (https://www.ncsc.se/sv/radgivning-och-stod/arbeta-systematiskt-med-informationssakerhet-och-cybersakerhet/metodstod-for-informationssakerhetsarbete/).
Offentlig förvaltning och myndighetsutövning – Nätverksutrustning av denna klass finns i kommunala och statliga datacenter och hos driftleverantörer. Verksamheter som köper drift bör begära besked om berörda modeller och tidplan för uppgradering.

2. Kritisk brist i Elementor Pro utnyttjas för att ta över WordPress-webbplatser

Klassning: B1 · K3 · N3 · tekniskt beroende

Elementor Pro, ett tillägg till WordPress med över sex miljoner aktiva installationer, har en brist i valideringen av filuppladdningar i formulär. Bristen har beteckningen CVE-2026-32475 och finns i version 4.2.1 och tidigare. Enligt Wordfence skickar angriparen formulärets uppladdningsfält som en lista där första posten är tom och andra posten innehåller en PHP-fil, vilket kringgår valideringen. Filen läggs i katalogen för formulärsuppladdningar och kan sedan användas som webbskal för att köra kommandon på servern. Utnyttjandet pågår och började enligt Wordfence den 19 augusti, samma dag som version 4.2.2 släpptes. Wordfence uppger att bolagets brandvägg har blockerat över 190 000 försök sedan dess. Angreppet kräver att webbplatsen har ett publicerat formulär med minst ett fält för filuppladdning.

Status: Åtgärd: kontrollera version av Elementor Pro på egna och upphandlade webbplatser, uppgradera till 4.2.2 eller senare och sök efter okända PHP-filer i uppladdningskatalogen.

Källa: BleepingComputer – publicerad 3 september 2026 kl. 16.52
https://www.bleepingcomputer.com/news/security/critical-elementor-pro-flaw-exploited-to-take-over-wordpress-sites/

Offentlig förvaltning och myndighetsutövning – WordPress med Elementor är vanligt på kommunala webbplatser, förvaltningssidor, projektsidor och kampanjsidor som ofta förvaltas utanför den ordinarie it-driften. Ett webbskal på en sådan server ger fotfäste i verksamhetens namn och kan användas för att sprida skadligt innehåll till besökare.
Informations- och cybersäkerhet – Angreppet lämnar spår: en PHP-fil med slumpmässigt namn i katalogen för formulärsuppladdningar. Den kontrollen kan göras direkt. Eftersom utnyttjandet pågått sedan den 19 augusti räcker det inte att uppgradera – webbplatsen behöver också granskas för att utesluta att någon redan tagit sig in.
Elektronisk kommunikation och it-drift – Webbplatser som ligger i delad drift kan ge en angripare väg vidare till andra webbplatser på samma server. Driftleverantören bör tillfrågas om vilka webbplatser som delar miljö.

3. Thomson Reuters uppger att personnummer och förseglade domstolshandlingar kan ha röjts

Klassning: B1 · K3 · N3 · sektorsanalogi

Thomson Reuters enhet West Publishing Corporation uppger i ett meddelande den 2 september att handlingar som hämtades ur ärendehanteringssystemet C-Track i mars kan ha innehållit namn, socialförsäkringsnummer, körkortsnummer, födelsedatum, medicinsk information och sjukförsäkringsuppgifter. Bolaget uppger vidare att viss konfidentiell, maskerad eller förseglad information kan ha berörts för vissa domstolar. Aktiviteten upptäcktes den 30 juni. Berörda är domstolar i elva amerikanska delstater, Amerikanska Jungfruöarna och Ontario i Kanada. West Publishing uppger att det ännu inte finns tecken på bedrägeri eller missbruk. Den 3 september var det fortfarande inte känt hur många personer som berörs, hur filerna hämtades eller vem som stod bakom.

Status: Uppföljning av dagrapportens punkt 3. Ny uppgift i kvällspasset är att förseglade handlingar och socialförsäkringsnummer kan ha ingått.

Källa: The Hacker News – publicerad 3 september 2026 kl. 16.39
https://thehackernews.com/2026/09/thomson-reuters-court-software-breach.html

Offentlig förvaltning och myndighetsutövning – Att uppgifter som en domstol själv har beslutat att skydda kan ha röjts hos en extern leverantör är det allvarliga i händelsen. Motsvarande fråga för svenska förhållanden är vilka sekretessbelagda uppgifter som finns i molntjänster och hos leverantörer av ärendehantering, och vad avtalen säger om säkerhetskopior.
Informations- och cybersäkerhet – Fem månader gick mellan åtkomst och offentliggörande, och två månader mellan upptäckt och besked. Verksamheter med leverantörsberoende bör kontrollera vilka tidsfrister för underrättelse som är avtalade, eftersom egen rapporteringsplikt börjar löpa när verksamheten själv fått kännedom.
Säkerhetsskydd och personalsäkerhet – Förseglade handlingar innehåller ofta uppgifter om skyddade personer, vittnen och pågående utredningar. Röjande av sådana uppgifter är en personsäkerhetsfråga och inte bara en integritetsfråga.

4. Uppgifter om 8,8 miljoner personer läckta från Manchester Airports Group efter vägran att betala

Klassning: B1 · K3 · N3 · sektorsanalogi

Uppgifter som uppges vara stulna från Manchester Airports Group har publicerats öppet under veckan och omfattar enligt SecurityWeek e-postadresser och telefonnummer till 8,8 miljoner personer. Koncernen uppgav förra veckan att angripare tagit sig in i systemen och hämtat bokningsuppgifter för parkering, lounger och snabbfilskontroll samt registreringar för trådlösa nät vid flygplatserna Manchester, London Stansted och East Midlands. Koncernen uppgav att verksamheten inte påverkades, att uppgifterna låg i en databas hos en tredje part och att bolaget mottagit ett krav på lösensumma. Utpressningsgruppen FulcrumSec tog under helgen på sig ansvaret och har därefter publicerat omkring 550 gigabyte material. Gruppen uppger att det omfattar cirka 8,7 miljoner personer, drygt 2,4 miljoner köp, drygt 461 000 textmeddelanden kopplade till bokningar och drygt 108 000 brittiska fordonsregistreringsnummer.

Status: Följ upp: om brittiska tillsynsmyndigheten inleder granskning och vilken tredjepartsleverantör som berörs.

Källa: SecurityWeek – publicerad 3 september 2026 kl. 17.35
https://www.securityweek.com/manchester-airports-group-data-on-8-8-million-people-leaked-after-ransom-refusal/

Transport och infrastruktur – Uppgifterna kommer från kringtjänster – parkering, lounger, trådlösa nät – och inte från flygtrafikens egna system. Det är samma mönster som svenska flygplatser, hamnar och kollektivtrafikbolag har: resenärsnära tjänster med stora personuppgiftsmängder ligger ofta hos underleverantörer, utanför den skyddade driftmiljön.
Informations- och cybersäkerhet – Fallet visar vad en vägran att betala innebär i praktiken: materialet publiceras. Beslutet att inte betala är rimligt, men verksamheten behöver ha förberett besked till berörda personer och till tillsynsmyndighet innan publiceringen sker, inte efter.
Personsäkerhet och hot mot förtroendevalda och anställda – Fordonsregistreringsnummer kopplade till namn och ort gör det möjligt att knyta en person till ett fordon. För personer med skyddade uppgifter är det en direkt risk, även när uppgifterna i sig ser triviala ut.

5. Hot mot skola i Katrineholm – polisen ökar närvaron vid fyra skolor

Klassning: A1 · K3 · N3 · direkt verksamhetspåverkan

Polisen nåddes under onsdagen av ett hotfullt meddelande riktat mot en skola i Katrineholm. Polisen uppger enligt Katrineholms kommun att det i nuläget inte finns någon konkret anledning att tro att ett brott ska begås, men att uppgifterna tas på allvar. Polisen ökar närvaron vid Järvenskolan, Duveholmsgymnasiet, Katrineholms tekniska college och Lindengymnasiet. Kommunen uppger att elever, vårdnadshavare och personal har informerats och att skolornas säkerhetsrutiner följs. Polisen publicerade en händelsenotis om olaga hot i Katrineholm klockan 16.07 med uppgift om att polispersonal kommer att finnas på plats. Hur länge den utökade närvaron ska pågå anges inte.

Status: Följ upp: om hotet leder till förundersökning och om närvaron förlängs till nästa vecka.

Källa: SVT Nyheter Sörmland och Polismyndigheten – publicerad 3 september 2026 kl. 16.07
https://www.svt.se/nyheter/lokalt/sormland/uppgifter-om-hot-mot-skola-i-katrineholm-polisen-okar-narvaron

Skola och förskola – Fyra skolenheter i samma kommun berörs samtidigt, vilket ställer krav på samordnad information till vårdnadshavare och på att rutinerna för inrymning och utrymning är kända hos personalen. Höstterminens början är den period när sådana hot är vanligast.
Räddningstjänst, larm och blåljus – Utökad polisnärvaro vid fyra adresser binder resurser i ett län under obestämd tid. Kommuner i närområdet bör vara medvetna om att svarstiderna för annat kan påverkas.
Personsäkerhet och hot mot förtroendevalda och anställda – Skolledning och personal är mottagare av hotet i praktiken. Kommunen bör säkerställa stöd till berörd personal och att den som tar emot ett hot vet hur det dokumenteras och anmäls.
Offentlig förvaltning och myndighetsutövning – Kommunen har valt att gå ut öppet med uppgiften. Det är i regel rätt väg, men kräver att kommunikationen samordnas med polisen så att inte olika uppgifter lämnas parallellt.

6. Danska säkerhetspolisen varnar för konkreta ryska sabotageförberedelser mot Danmark

Klassning: B1 · K2 · N3 · omvärldsläge

Danmarks säkerhetspolis PET varnar för att Ryssland går allt längre i försök att sabotera och skaka om Danmark. PET uppger att vanliga danskar kontaktas och erbjuds uppdrag för rysk räkning, som att fotografera en lagerbyggnad, rapportera vilka tider en fabrik tar emot leveranser eller anlägga bränder med stora konsekvenser. PET uppger att Ryssland redan verkar ha lyckats rekrytera personer i Danmark och att man tagit ryska underrättelsetjänster på bar gärning när de förberett angrepp i närtid. Försvarsindustrin och verksamheter som bidrar till det militära stödet till Ukraina pekas ut som de främsta måltavlorna, och planeringen beskrivs som mycket konkret. Några sabotage har så vitt känt ännu inte genomförts. Tysklands regering har pekat ut Ryssland som ansvarigt för ett angreppsförsök vid flygplatsen i Leipzig, där drönare med sprängladdningar hittades i närområdet, och EU-kommissionen har beskrivit händelsen som statssponsrad terrorism. Parallellt uppger forskare i Dagens Nyheter att det är sannolikt att Ryssland planerar en attack mot Nato.

Status: Följ upp: om Säkerhetspolisen gör motsvarande uttalande om svenska förhållanden.

Källa: Ny Teknik – publicerad 3 september 2026 kl. 22.51
https://www.nyteknik.se/samhaelle/varningen-ryssland-planerar-sabotage-mot-danmark/4491179

Industri, försvarsindustri och leveranskedjor – Måltavlorna som PET pekar ut är inte myndigheter utan tillverkande företag och deras underleverantörer. Verksamheter som levererar till försvarsmateriel eller till stödet till Ukraina bör räkna med att leveranstider, portpassager och lagerlägen är av intresse för kartläggning.
Fysisk säkerhet och skydd av anläggning – De uppdrag PET beskriver kräver ingen avancerad förmåga: fotografering, tidsobservationer och anlagd brand. Det som upptäcker sådant är personal som reagerar på avvikelser, inte tekniska system. Rutiner för att rapportera iakttagelser vid grindar och lastkajer bör aktualiseras.
Säkerhetsskydd och personalsäkerhet – Rekrytering av lokalt bosatta personer för enkla uppdrag är svår att upptäcka med säkerhetsprövning, eftersom personerna ofta saknar tidigare koppling till en främmande makt. Utbildning i hur en kontakt ser ut och vart den anmäls är den verksamma åtgärden.
Internationell verksamhet och resande personal – Bilden gäller hela Norden. Verksamheter med anläggningar eller personal i Danmark bör räkna med samma hotbild där som hemma, och samordna sin rapportering av iakttagelser med den danska hanteringen.

7. Tjänsteman i riksdagen har enligt granskning spridit proryska budskap i flera år

Klassning: B1 · K3 · N3 · sektorsanalogi

Enligt en granskning av tidskriften Expo har en tjänsteman anställd i riksdagen under flera år delat material och skrivit inlägg på Facebook, X och Telegram som återger ryska statliga narrativ, både efter annekteringen av Krim och efter den fullskaliga invasionen 2022. Statsminister Ulf Kristersson kallar enligt Svenska Dagbladet uppgifterna mycket allvarliga. Sverigedemokraterna tillbakavisar att personen skulle sympatisera med Ryssland och uppger att partiet inte haft kännedom om saken. Socialdemokraterna sätter enligt Omni uppgifterna i samband med Rysslands hybridkrigföring i Europa. Rapporten redovisar granskningens uppgifter och parternas svar, inte någon egen bedömning av personens avsikter.

Status: Följ upp: om riksdagsförvaltningen vidtar någon åtgärd och om Säkerhetspolisen kommenterar.

Källa: SVT Nyheter Inrikes – publicerad 3 september 2026 kl. 15.27
https://www.svt.se/nyheter/inrikes/sd-tjansteman-i-riksdagen-har-spridit-proryska-budskap

Säkerhetsskydd och personalsäkerhet – Fallet gäller en anställd i en myndighet med tillgång till lokaler och sammanhang där känsliga uppgifter förekommer. Det är den fråga som säkerhetsprövningen med registerkontroll och den löpande prövningen under anställningen ska hantera. Öppna ställningstaganden i sociala medier är en av de omständigheter som ska vägas in vid bedömning av lojalitet och sårbarhet.
Offentlig förvaltning och myndighetsutövning – Motsvarande fråga för kommuner och myndigheter är om den löpande säkerhetsprövningen faktiskt genomförs efter anställningsbeslutet, eller om den i praktiken bara sker vid nyanställning. Det senare är det vanliga.
Personsäkerhet och hot mot förtroendevalda och anställda – Ärenden av detta slag leder ofta till att namngivna personer utsätts för hat och hot, både den granskade och de som uttalar sig. Berörda arbetsgivare bör räkna med att behöva ge stöd.

8. HPE korrigerar kritisk brist i ArubaOS-CX som ger fjärrkörning av kod

Klassning: B1 · K3 · N3 · tekniskt beroende

HPE uppger att en kritisk buffertöverflödesbrist i en systemtjänst i ArubaOS-CX, operativsystemet för bolagets företagsswitchar, gör det möjligt för en angripare utan inloggning att skicka särskilt utformade paket och därigenom köra kod med förhöjda behörigheter. Bristen har beteckningen CVE-2026-73749. Samma säkerhetsbulletin omfattar enligt BleepingComputer ytterligare 23 sårbarheter, varav några med allvarlighetsgrad 8,1 till 8,8. HPE uppger att bolaget vid publiceringen inte kände till aktivt utnyttjande eller offentliga angreppsverktyg. Versionen AOS-CX 10.10.1181 har nått slutet av sin underhållsperiod och får bara korrigeringar för internt upptäckta kritiska problem, vilket enligt HPE även gäller denna brist.

Status: Åtgärd: kontrollera vilken ArubaOS-CX-version som körs och om någon switch står på en version utanför underhåll.

Källa: BleepingComputer – publicerad 3 september 2026 kl. 20.28
https://www.bleepingcomputer.com/news/security/hpe-patches-critical-arubaos-cx-remote-code-execution-flaw/

Elektronisk kommunikation och it-drift – Aruba-switchar är vanliga i kommunala fastighetsnät, skolnät och vårdnät. Att en version utanför underhåll berörs är det som kräver beslut: en switch som inte längre får fullständiga korrigeringar behöver antingen bytas eller avgränsas.
Informations- och cybersäkerhet – Två kritiska brister i nätverksutrustning från olika leverantörer samma dygn – denna och Cisco Nexus 9000 – innebär att verksamheter behöver ha en aktuell förteckning över nätverksutrustning med version och underhållsstatus. Utan en sådan går det inte att svara på om verksamheten berörs.
Vård, omsorg och socialtjänst – Vårdnät ställer särskilda krav på tillgänglighet, vilket ofta skjuter upp uppgraderingar. Bristen bör hanteras med planerat servicefönster snarare än att skjutas på obestämd tid.

9. Aktivt utnyttjande av JFrog Artifactory bekräftas och SonicWall uppmanar till omedelbar patchning

Klassning: B1 · K3 · N2 · tekniskt beroende

SOCRadar uppger att bristen CVE-2026-82329 i JFrog Artifactory utnyttjas aktivt. Bristen ger enligt tidigare uppgifter administratörsbehörighet i standardkonfiguration och fördes tillsammans med sex andra brister in i den amerikanska myndigheten CISA:s katalog över aktivt utnyttjade sårbarheter under onsdagen. Cybersecurity Dive uppger samtidigt att SonicWall uppmanar till omedelbar patchning av de kedjade bristerna i SMA 1000, där CVE-2026-83548 har CVSS 10,0 och kan kombineras med CVE-2026-83549 för körning av operativsystemkommandon. Detta är en uppföljning av dagrapportens punkt 2, där bristerna redovisades när de fördes in i katalogen.

Status: Åtgärd: bekräfta att patchning av SMA 1000 och Artifactory är genomförd, inte bara planerad.

Källa: SOCRadar och Cybersecurity Dive – publicerad 3 september 2026 kl. 17.03
https://www.cybersecuritydive.com/news/sonicwall-urges-immediate-patching-of-chained-vulnerabilities/

Informations- och cybersäkerhet – Artifactory är artefaktregister i mjukvaruleveranskedjan. Administratörsbehörighet där gör det möjligt att lägga in manipulerade artefakter som sprids vidare till alla miljöer som hämtar från registret. Att utnyttjandet nu är bekräftat höjer kravet från planerad patchning till genomförd.
Elektronisk kommunikation och it-drift – SMA 1000 är en fjärråtkomstlösning som per definition är internetexponerad. En kedja som börjar utan inloggning och slutar i kommandokörning ger fullständig kontroll över åtkomstpunkten till verksamhetens nät.

10. Misstänkt farligt föremål i Helsingborg bedömdes ofarligt

Klassning: A1 · K3 · N2 · geografisk närhet

Polisen upprättade klockan 16.28 en händelsenotis om misstänkt farligt föremål i Helsingborg. SVT Nyheter uppger senare under eftermiddagen att föremålet bedömdes ofarligt. Ärendet är därmed avslutat utan påverkan på omgivningen.

Status: Avslutad. Ingen ytterligare uppföljning.

Källa: Polismyndigheten och SVT Nyheter Helsingborg – publicerad 3 september 2026 kl. 16.28
https://polisen.se/aktuellt/handelser/2026/september/3/

Räddningstjänst, larm och blåljus – Larm om misstänkta föremål binder nationella bombskyddet och lokal polis under den tid bedömningen tar. Att flertalet sådana larm slutar med att föremålet är ofarligt ändrar inte att resursen är låst under insatsen.
Fysisk säkerhet och skydd av anläggning – Verksamheter i närområdet bör känna till att avspärrningar kan uppstå med kort varsel och påverka tillträde till egna anläggningar.

11. Signalfel ställde in tåg mellan Nässjö och Falköping

Klassning: B1 · K1 · N2 · direkt verksamhetspåverkan

Sveriges Radio rapporterar under kvällen att tåg mellan Nässjö och Falköping ställts in efter ett signalfel. Uppgifter om felets orsak, omfattning och beräknad avhjälpningstid framgår inte av den publicerade notisen, och sidan gick inte att läsa i sin helhet vid tidpunkten för rapporten. Uppgiften redovisas därför med rubrikens innehåll och utan bekräftade detaljer.

Status: Följ upp: om felet kvarstår i morgonens trafik och om Trafikverket lämnar orsaksuppgift.

Källa: Sveriges Radio – publicerad 3 september 2026 kl. 21.21
https://sverigesradio.se/artikel/installda-tag-mellan-nassjo-och-falkoping-efter-signalfel

Transport och infrastruktur – Sträckan är en del av Södra stambanans anslutning västerut. Inställda tåg påverkar arbetsresor och godstrafik, och signalfel kräver ofta insats på plats innan trafiken kan släppas på igen.
Offentlig förvaltning och myndighetsutövning – Verksamheter med personal som pendlar på sträckan bör räkna med sena ankomster i morgontrafiken om felet inte är avhjälpt.

12. Microsoft uppger att osynliga tecken används för att kringgå skydd mot nätfiske

Klassning: B1 · K3 · N2 · tekniskt beroende

Microsoft uppger att en teknik som hittills använts för att smyga in instruktioner till språkmodeller nu också används i nätfiske. Metoden bygger på tecken som inte visas för läsaren men som finns i texten, vilket gör att ett meddelande kan se ofarligt ut för mottagaren och samtidigt undgå automatisk granskning. Microsoft beskriver det som en övergång från angrepp mot modeller till angrepp mot skyddsfunktioner för e-post.

Status: Följ upp: om leverantören av e-postskydd bekräftar att osynliga tecken normaliseras före granskning.

Källa: Microsoft Security Blog – publicerad 3 september 2026 kl. 18.00
https://www.microsoft.com/en-us/security/blog/

Informations- och cybersäkerhet – Tekniken träffar den automatiska granskningen, inte användaren. Verksamheter bör kontrollera med sin leverantör av e-postskydd om osynliga tecken tas bort innan innehållet granskas, eftersom rapportering från användare annars blir enda upptäckten.
Offentlig förvaltning och myndighetsutövning – Myndigheter och kommuner som börjat använda språkmodeller i ärendehandläggning berörs dubbelt: samma teknik kan användas både mot e-postskyddet och mot modellen som läser inkommande text.

13. Microsoft korrigerar brister i QUIC, .NET och PowerShell

Klassning: A1 · K3 · N2 · tekniskt beroende

Microsoft publicerade under kvällen tre säkerhetsuppdateringar. CVE-2026-62815 avser fjärrkörning av kod i Microsofts QUIC-implementation, CVE-2026-58641 avser förhöjda behörigheter i .NET och CVE-2026-58612 avser röjande av information i PowerShell. Microsoft anger inte att någon av bristerna utnyttjas.

Status: Åtgärd: ta med i ordinarie uppdateringsomgång och prioritera QUIC-bristen på system som tar emot trafik utifrån.

Källa: Microsoft Security Update Guide – publicerad 3 september 2026 kl. 16.00
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62815

Elektronisk kommunikation och it-drift – QUIC används i modern webb- och applikationstrafik. Fjärrkörning i en transportprotokollsimplementation berör tjänster som är exponerade utåt och bör hanteras före de två övriga.
Informations- och cybersäkerhet – PowerShell-bristen rör röjande av information och är mest relevant i miljöer där skript hanterar behörigheter eller hemligheter.

14. CISA uppmanar till förberedelser för tiden efter dagens kryptografi

Klassning: A1 · K3 · N2 · regel och tillsyn

Den amerikanska cybersäkerhetsmyndigheten CISA publicerade en uppmaning om att förbereda övergången till kryptografi som står emot kvantdatorer. Myndigheten uppmanar organisationer att inventera var kryptografi används, identifiera vilka system som skyddar uppgifter med långt skyddsvärde och planera för byte av algoritmer.

Status: Följ upp: om Nationellt cybersäkerhetscenter publicerar motsvarande vägledning för svenska förhållanden.

Källa: CISA – publicerad 3 september 2026 kl. 14.00
https://www.cisa.gov/news-events/news

Informations- och cybersäkerhet – Det som gör frågan aktuell nu är uppgifter med långt skyddsvärde: information som samlas in i dag och som fortfarande ska vara skyddad om tio eller tjugo år kan avlyssnas nu och dekrypteras senare. Att inventera var sådan information överförs är ett arbete som kan påbörjas utan att nya algoritmer är valda.
Säkerhetsskydd och personalsäkerhet – Säkerhetsskyddsklassificerade uppgifter har per definition långt skyddsvärde. Verksamheter som hanterar sådana uppgifter bör ta upp frågan i sin säkerhetsskyddsanalys.

15. Nätfiske med fjärrstyrningsverktyg pågår i 46 länder

Klassning: B1 · K3 · N2 · sektorsanalogi

The Hacker News uppger att en kampanj där angripare förmår mottagare att installera legitima verktyg för fjärrstyrning nu omfattar 46 länder, med USA som mest utsatta land. Metoden bygger på att verktygen är signerade och tillåtna i många miljöer, vilket gör att installationen inte utlöser larm. Posten låg strax utanför tidsfönstret men tas med eftersom kampanjen är pågående.

Status: Följ upp: om nordiska mottagare pekas ut i kommande rapportering.

Källa: The Hacker News – publicerad 3 september 2026 kl. 13.58
https://thehackernews.com/2026/09/us-becomes-top-target-in-rmm-phishing.html

Informations- och cybersäkerhet – Legitima fjärrstyrningsverktyg är svåra att blockera generellt eftersom driftleverantörer använder dem. Den verksamma åtgärden är en förteckning över vilka verktyg som är godkända i verksamheten och larm när något annat startas.
Offentlig förvaltning och myndighetsutövning – Handläggare som ofta får legitima uppmaningar att installera stödprogram från it-funktionen är den mottagargrupp metoden är byggd för. Rutinen bör vara att sådana uppmaningar alltid verifieras i en annan kanal.

16. Riksorganisationen Roks varnar för att skyddade telefonnummer kan avslöjas av ny larmfunktion

Klassning: C3 · K1 · N2 · sektorsanalogi

Sveriges Radio rapporterar under eftermiddagen att Riksorganisationen för kvinnojourer och tjejjourer i Sverige, Roks, varnar för att hemliga mobilnummer kan avslöjas genom en ny larmfunktion. Uppgifter om vilken funktion som avses, hur avslöjandet sker och vilken aktör som ansvarar framgår inte av den publicerade notisen, och sidan gick inte att läsa i sin helhet vid tidpunkten för rapporten. Uppgiften redovisas som tidig signal utan bekräftade detaljer.

Status: Följ upp: vilken larmfunktion som avses och om ansvarig aktör eller tillsynsmyndighet kommenterar.

Källa: Sveriges Radio – publicerad 3 september 2026 kl. 16.40
https://sverigesradio.se/artikel/roks-varnar-hemliga-mobiler-avslojas-av-nytt-larm

Personsäkerhet och hot mot förtroendevalda och anställda – Om uppgiften stämmer berör den alla verksamheter som har personal eller brukare med skyddade kontaktuppgifter, inte bara kvinnojourer. Socialtjänst, skola och vård hanterar sådana uppgifter dagligen.
Vård, omsorg och socialtjänst – Socialtjänsten är den verksamhet som oftast hanterar skyddade personuppgifter i kommunal miljö. Signalen bör följas upp innan slutsatser dras om vilken funktion som avses.

17. Valskyltar utsatta för sabotage i Blekinge – parti utlovar belöning

Klassning: C2 · K1 · N1 · omvärldsläge

Blekinge Läns Tidning rapporterar att ett parti utlovar 10 000 kronor i belöning efter sabotage mot partiets valskyltar. Omfattning och antal skadade skyltar framgår inte av notisen.

Status: Följ upp: om fler partier rapporterar motsvarande skadegörelse under valrörelsen.

Källa: Blekinge Läns Tidning – publicerad 3 september 2026 kl. 16.25
https://www.blt.se/karlskrona/efter-sabotage-mot-valskyltar-partiet-utlovar-10-000-kronor-i-beloning/

Offentlig förvaltning och myndighetsutövning – Skadegörelse mot valmaterial rör den demokratiska processen och är en fråga för kommunens valnämnd att följa, även när enskilda händelser är små.
Personsäkerhet och hot mot förtroendevalda och anställda – Skadegörelse mot partimaterial föregår ofta hot mot enskilda kandidater. Kommuner bör ha en väg för förtroendevalda att rapportera händelser samlat.

Darkweb och läckageanspråk

Posterna nedan kommer ur clearnet-index över utpressningsgruppernas egna läckagesidor och ur kataloger över spridda inloggningsuppgifter. Det är påståenden från gärningsmän eller andrahandsuppgifter, och de klassas därför som obekräftade (K0) med låg tillförlitlighet. Rapporten redovisar att ett anspråk finns, vem som framför det och när det observerades – aldrig innehållet i en läcka. En post här är en signal att kontrollera, inte en bekräftad händelse.