# Strategisk rapport
**Period:** 2026-08-31 — 2026-09-28

## Sammanfattning
Periodens mest brådskande händelse internationellt var de aktivt utnyttjade kritiska sårbarheterna i Citrix NetScaler ADC och Gateway, där Citrix 2026-09-27 bekräftade oautentiserad fjärrkörning av kod och CERT-EU rekommenderade omedelbar uppdatering och kompromissbedömning [7]. Utnyttjandet kopplades till utpressningsattacker tillskrivna aktören Arcusmedia, bland annat mot Pantaneiro Capas. Inrikes dominerade testet av det mobilbaserade varningssystemet SE-Alert 2026-09-07, som berörde 2,6 miljoner människor i Stockholms och Gotlands län men avslöjade att många Telia-kunder inte nåddes av meddelandet [2][4]. Flera oberoende myndigheter — CISA, kanadensiska Cyber Centre och CERT-EU — lade under perioden till aktivt utnyttjade sårbarheter i infrastruktur- och utvecklarprodukter som JFrog Artifactory, ConnectWise ScreenConnect och GitLab [12][15]. Brittiska NCSC varnade 2026-09-02 för ökande angrepp mot operativ teknik och internetexponerade edge-enheter [10].

## Mönster och trender
Veckan präglades av en tydlig koncentration av hotaktörers aktivitet mot edge-enheter, identitets- och utvecklarverktyg, där flera myndigheter samtidigt bekräftade aktivt utnyttjande — ett mönster som förstärker bilden av att internetexponerad infrastruktur prioriteras framför traditionella slutpunkter [7][12][15]. Utpressningsprogram fortsatte att dominera hotbilden med Cl0p som framträdande aktör och nya distributionsmetoder som utnyttjande av GitHub och Active Directory-grupprinciper [14]. Till skillnad från renodlad incidentrapportering låg tyngdpunkten inrikes på en planerad prövning av en skyddsåtgärd, där SE-Alert-testet avslöjade leveransbrister snarare än ett realiserat angrepp [3][4]. På regleringssidan trädde de första kraven i EU:s Cyber Resilience Act i kraft 2026-09-11, vilket markerar en förskjutning mot bindande krav på produktsäkerhet [6].

## Inrikes (K1)
Under perioden dominerades den inrikes rapporteringen av testet av Sveriges nya mobilbaserade varningssystem SE-Alert, som genomfördes 2026-09-07 klockan 15.00 i Stockholms och Gotlands län och som avslöjade tekniska brister i leveransen. Testet, som utfördes av Myndigheten för civilt försvar och SOS Alarm, berörde 26 kommuner och omkring 2,6 miljoner människor [4]. Ett Viktigt meddelande till allmänheten (VMA) skickades direkt till mobiltelefoner, men meddelandet nådde inte alla mottagare [2][4]. SOS Alarm bekräftade genom presschefen Tobbe Lundell att många kunder hos operatören Telia inte fick signalen, och att Telias leverans inte var fullständig [4]. Telia uppgav att man kände till problemet men ännu inte kunde ange omfattningen [2].

Myndigheten för civilt försvar beskrev testet som en källa till erfarenheter inför den fortsatta utvecklingen av systemet, och angav att syftet var att identifiera brister samt säkerställa att avvikelser åtgärdas [3]. De identifierade avvikelserna analyseras enligt myndigheten av ansvariga aktörer, med hänvisning även till Post- och telestyrelsen [3][4]. KTH-professorn Emil Björnsson beskrev enligt Dagens Nyheter att det inte är oroväckande att vissa personer inte nåddes, så länge felen åtgärdas, men att systemet bör fungera bättre vid nästa test i december [5].

#### Bedömning
Testet av SE-Alert utgör en avsiktlig prövning av en skyddsåtgärd (📊 varningssystem) där syftet var att detektera brister före skarpt läge — de identifierade leveransproblemen hos Telia representerar en teknisk sårbarhet snarare än en realiserad incident. Givet att ansvariga aktörer explicit angett att avvikelserna analyseras och att ett uppföljande test är planerat till december (B2/A2 — vanligtvis till helt pålitlig), bedöms det som sannolikt (60–90%) att de identifierade felen adresseras innan nästa test. Om leveransbristerna kvarstår vid decembertestet ökar dock risken att systemets tillförlitlighet ifrågasätts i ett skarpt krisläge, vilket enligt den citerade experten skulle utgöra grund för kritik [5].

## Internationellt (K2/K3)
Under perioden präglades den internationella bilden av aktivt utnyttjade kritiska sårbarheter i centrala nätverks- och infrastrukturprodukter, med Citrix NetScaler som den enskilt mest brådskande händelsen. 2026-09-27 publicerade Citrix en säkerhetsbulletin som adresserade åtta sårbarheter i kundhanterade Citrix NetScaler ADC och Gateway, varav två kritiska sårbarheter möjliggör oautentiserad fjärrkörning av kod [7]. Citrix bekräftade aktivt utnyttjande av dessa två sårbarheter, och CERT-EU rekommenderade omedelbar uppdatering samt kompromissbedömning av internetexponerade system [7]. Enligt veckans hotöversikt kopplades utnyttjandet ihop med utpressningsattacker mot bland andra Pantaneiro Capas, tillskrivet aktören Arcusmedia.

Flera myndigheter lade under perioden till aktivt utnyttjade sårbarheter i sina kataloger. 2026-09-11 lade den amerikanska myndigheten CISA till tre sårbarheter i sin KEV-katalog baserat på bevis för aktivt utnyttjande — två i JFrog Artifactory (felaktig auktorisering respektive bristande autentisering) samt en behörighetseskalering i ConnectWise ScreenConnect [12]. Samma dag noterade CISA en aktivt utnyttjad sårbarhet i GitLab, vilket bekräftades av kanadensiska Cyber Centre som uppmanade administratörer att uppdatera till rättade versioner [15]. I PaperCut MF och NG bekräftades två sårbarheter som utnyttjas aktivt, med möjlighet till kringgående av säkerhetsrestriktioner och fjärrkörning av kod [9]. Check Point offentliggjorde 2026-09-11 två kritiska VPN-relaterade sårbarheter med potential för oautentiserad fjärrkörning, men uppgav att inget aktivt utnyttjande observerats [13].

Brittiska NCSC varnade 2026-09-02 för ökande angrepp mot operativ teknik (OT) och internetexponerade edge-enheter över flera sektorer globalt [10]. Enligt myndigheten har störningarna hittills varit begränsade, men OT-angrepp bedöms fortsätta utvecklas i takt med att både statliga och icke-statliga aktörers förmågor stärks och geopolitisk instabilitet driver offensiva operationer [8][10]. På regleringssidan trädde de första kraven i EU:s Cyber Resilience Act (CRA) i kraft 2026-09-11 [6].

Utpressningsprogram och skadlig kod fortsatte att dominera hotbilden, med aktören Cl0p framträdande i veckans rapportering [14]. Enligt hotöversikten användes bland annat en malware-as-a-service-plattform som utnyttjade GitHub som distributionsnätverk, samt utpressningsprogram som utnyttjar Active Directory-grupprinciper (GPO) [14].

### Bedömning
Citrix NetScaler utgör ett komplett SECM-scenario: bekräftat hot (aktivt utnyttjande), kritisk sårbarhet (oautentiserad RCE) och exponerade mål. Givet att patchar och kompromissbedömning nu rekommenderas av CERT-EU [7], men att internetexponerade NetScaler-installationer historiskt utnyttjas snabbt efter offentliggörande, bedöms det som mycket sannolikt (>90%) att ytterligare organisationer redan har komprometterats utan att ha upptäckt det. Att flera oberoende myndigheter (CISA, Cyber Centre, CERT-EU) samtidigt lade till aktivt utnyttjade sårbarheter i infrastrukturprodukter (A2-källor) stärker bedömningen att hotaktörer prioriterar edge-enheter och identitets-/utvecklarverktyg. NCSC:s OT-varning [10] i kombination med den observerade trenden innebär att sannolikheten för störande incidenter mot internetexponerad OT bedöms öka på medellång sikt (månader).

## Uppföljningspunkter
1. **Citrix NetScaler ADC/Gateway (2026-014):** CERT-EU rekommenderade 2026-09-27 patchning och kompromissbedömning av två aktivt utnyttjade kritiska RCE-sårbarheter; verifiera åtgärdsstatus för internetexponerade installationer [7].

2. **CISA KEV-katalog (2026-09-11):** Tre tillagda aktivt utnyttjade sårbarheter i JFrog Artifactory och ConnectWise ScreenConnect samt separat noterad GitLab-sårbarhet, bekräftad av kanadensiska Cyber Centre — följ patchdeadlines [12][15].

3.

> **OBS:** Påståenden flaggade för granskning: 17. Se "Att verifiera" nedan. Automatiskt borttagna (låg tillförlitlighet): 1.

---
*Genererad 2026-09-28 04:32 UTC från 15 prioriterade artiklar (10 citerade).*

[2] m3.se — https://www.m3.se/article/3228654/fel-upptackta-under-testet-av-varningssystemet-se-alert.html
[3] msb.se — https://www.mcf.se/sv/aktuellt/nyheter/2026/september/test-av-se-alert-genomfort/
[4] tv4.se — https://www.tv4.se/artikel/1nu0p5OhNDuVJHRXkco7mS/varningssystem-testas
[5] dn.se — https://www.dn.se/sverige/expert-nasta-larmtest-maste-fungera-battre/
[6] cert.se — https://www.cert.se/2026/09/cert-se-veckobrev-v37.html
[7] cert.europa.eu — https://cert.europa.eu/publications/security-advisories/2026-014/
[8] ctoatncsc.substack.com — https://ctoatncsc.substack.com/p/cto-at-ncsc-summary-week-ending-august-c0b
[9] hkcert.org — https://www.hkcert.org/security-bulletin/papercut-multiple-vulnerabilities_20260831
[10] ncsc.fi — https://www.databreachtoday.com/hackers-exploiting-internet-exposed-ot-warns-uk-ncsc-a-32706
[12] cisa.gov — https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-three-known-exploited-vulnerabilities-catalog

### Att verifiera

- **[3][4]** "De identifierade avvikelserna analyseras enligt myndigheten av ansvariga aktörer, med hänvisning även till Post- och te…"  
  → svag koppling till angiven källa
- **[4]** "Testet, som utfördes av Myndigheten för civilt försvar och SOS Alarm, berörde 26 kommuner och omkring 2,6 miljoner männ…"  
  → svag koppling till angiven källa
- **[8]** "Enligt myndigheten har störningarna hittills varit begränsade, men OT-angrepp bedöms fortsätta utvecklas i takt med att…"  
  → svag koppling till angiven källa
- **[12][15]** "Veckan präglades av en tydlig koncentration av hotaktörers aktivitet mot edge-enheter, identitets- och utvecklarverktyg…"  
  → svag koppling till angiven källa
- **[14]** "Utpressningsprogram fortsatte att dominera hotbilden med Cl0p som framträdande aktör och nya distributionsmetoder som u…"  
  → svag koppling till angiven källa
- **[12][15]** "Flera oberoende myndigheter — CISA, kanadensiska Cyber Centre och CERT-EU — lade under perioden till aktivt utnyttjade…"  
  → en aktör/entitet saknas i källan: CERT - EU
- **[2][4]** "Inrikes dominerade testet av det mobilbaserade varningssystemet SE-Alert 2026-09-07, som berörde 2,6 miljoner människor…"  
  → siffra eller datum saknas i källan: 2,6, 2026-09-07
- **[6]** "På regleringssidan trädde de första kraven i EU:s Cyber Resilience Act i kraft 2026-09-11, vilket markerar en förskjutn…"  
  → siffra eller datum saknas i källan: 2026-09-11
- …och 9 till flaggade påståenden.