# Weekly Report **Period:** Week 24, 2026 (2026-06-01 — 2026-06-08) ## Sammanfattning Veckans internationella cybersäkerhetsbild dominerades av aktivt utnyttjade sårbarheter i serverinfrastruktur med hög privilegienivå: Belgiens CCB varnade 2026-06-01 för pågående exploatering av en kritisk sårbarhet i Windows Netlogon som möjliggör fjärrkodsexekvering mot domänkontrollanter, och CISA lade under veckan till sammanlagt tre bekräftade exploaterade sårbarheter i sin KEV-katalog — däribland Oracle WebLogic Server, Linux-kärnan och Android Framework. Storbritanniens NCSC publicerade 2026-06-04 en separat varning om komprometterade öppna kodbibliotek i mjukvaruförsörjningskedjor, vilket adresserar ett strukturellt snarare än punktuellt hot. Inrikes präglades veckan av förebyggande initiativ: Kungliga krigsvetenskapsakademin förordar i en rapport daterad 2026-06-02 lagändringar för att täppa rättsliga luckor vid hybridangrepp, och ett nationellt kunskapscenter för insiderprevention etableras i samarbete mellan IRPA och SRI. Inga bekräftade cyberincidenter med namngivna svenska offer rapporterades under perioden. ## Mönster och trender Veckans rapportering visar ett tydligt mönster av att hotaktörer konsekvent riktar in sig mot infrastrukturkomponenter med hög privilegienivå — autentiseringsprotokoll och applikationsservrar — vilket indikerar en fortsatt orientering mot angrepp som möjliggör lateral rörelse snarare än isolerad datastöld. CISAs tre KEV-tillägg under en enda vecka är ovanligt koncentrerat och speglar en accelererad takt i aktiv exploatering av kända sårbarheter. NCSC:s varning om komprometterade öppna kodbibliotek kompletterar bilden av att attackytan breddas från enskilda system till hela mjukvaruförsörjningskedjor — ett mönster som även framhölls i tidigare perioders rapportering. Inrikes är skiftet från reaktiv incidenthantering till proaktivt lagstiftnings- och kapacitetsuppbyggnadsarbete en tydlig trend under veckan, med insiderprevention och hybridhotslagstiftning som parallella spår. ## Inrikes (K1) Under veckan präglades den inhemska bilden av initiativ inom förebyggande säkerhetsarbete och policyfrågor kopplade till hybridhot, snarare än akuta cybersäkerhetsincidenter. Den internationella forskningsalliansen Insider Risk Practitioner Alliance (IRPA) etablerar tillsammans med det svenska personalsäkerhetsföretaget SRI ett nationellt kunskapscenter för insiderprevention [1]. Centret, som benämns Sveriges kunskapscenter för insiderprevention, ska enligt uppgift fungera som en plattform för forskning, utbildning och kunskapsutveckling inom ett område där insiderrelaterade incidenter uppges ha ökat i frekvens (C2 — Ganska pålitlig, Sannolikt sant). Kungliga krigsvetenskapsakademin publicerade 2026-06-02 en rapport som, enligt Sveriges Radio, förordar lagändringar och en ny juridisk kategori mellan fred och höjd beredskap för att möjliggöra hantering av hybridangrepp såsom påverkanskampanjer och cyberattacker [2]. Rapporten lyfter fram Rysslands aktiva användning av dessa metoder för att undergräva sammanhållning och tillit till myndigheter, och identifierar hotaktören Gamaredon som ett konkret exempel (A2 — Helt pålitlig, Sannolikt sant). Länsstyrelsen Blekinge genomförde 2026-06-04 en övning tillsammans med Boverket och ett trettiotal aktörer med fokus på bygg- och reparationsberedskap för samhällsviktig infrastruktur, som en del av totalförsvarsarbetet [3]. Övningen betonade förmågan att snabbt återuppbygga samhällskritiska funktioner efter angrepp, med erfarenheter från Ukraina som referenspunkt (B2 — Vanligtvis pålitlig, Sannolikt sant). ### Bedömning Sammantaget pekar veckans inhemska rapportering mot ett pågående arbete med att stärka det förebyggande skyddet på flera nivåer — mot insiderhot, rättsliga luckor vid hybridangrepp och fysisk motståndskraft — snarare än reaktioner på akuta incidenter. Givet att rapporten från Kungliga krigsvetenskapsakademin förordar lagstiftningsförändringar, och att sådana processer typiskt löper över månader till år, är det möjligt (20–60%) att konkreta lagförslag presenteras inom tolv månader. Inga bekräftade cyberincidenter med namngivna svenska offer rapporterades under perioden. ## Internationellt (K2/K3) Under veckan dominerades den internationella cybersäkerhetsbilden av aktivt utnyttjade sårbarheter i kritisk infrastruktur och serverplattformar, med varningar från flera nationella cybersäkerhetsmyndigheter. Den mest akuta händelsen kom 2026-06-01, då Belgiens Centre for Cybersecurity (CCB) varnade för aktiv exploatering av en kritisk sårbarhet i Windows Netlogon — protokollet som hanterar autentisering i Windows-domänmiljöer. Sårbarheten möjliggör fjärrkodsexekvering via specialkonstruerade nätverksförfrågningar, vilket innebär att angripare potentiellt kan ta kontroll över domänkontrollanter utan föregående autentisering [5] (C2 — Ganska pålitlig, Sannolikt sant). Samma dag publicerades en uppdatering av Kanadas cybersäkerhetsmyndighet avseende Oracles säkerhetsrådgivning från juli 2024, där CISA 2026-06-01 officiellt lade till en kritisk sårbarhet i Oracle WebLogic Server i sin katalog över kända exploaterade sårbarheter [11] (A2 — Helt pålitlig, Sannolikt sant). CISA lade under veckan till sammanlagt tre sårbarheter i sin KEV-katalog (Known Exploited Vulnerabilities). Den 2026-06-02 bekräftades aktiv exploatering av en sårbarhet i Linux-kärnan relaterad till felaktig autentisering, samt en heltalsspillsårbarhet i Android Framework [9] (A2 — Helt pålitlig, Sannolikt sant). Den 2026-06-03 tillkom ytterligare en sårbarhet i Mirasvit Full Page Cache Warmer, avseende deserialisering av opålitlig data [10] (A2 — Helt pålitlig, Sannolikt sant). Dessa tillägg är bindande för amerikanska federala myndigheter att åtgärda inom stipulerade tidsfrister. Rapportering från 2026-06-02 beskriver en utpressningsattack tillskriven aktören "Krybit" riktad mot det tyska bemanningsföretaget Activ'Interim 88, i kombination med den ovan nämnda Oracle WebLogic-sårbarheten — vilket skildras som en del av en bredare trend av hybridangrepp riktade mot europeiska organisationer [12] (C2 — Ganska pålitlig, Sannolikt sant). Rapporteringen härstammar från cybersäkerhetsövervakningskanaler och bör behandlas med viss försiktighet, då oberoende verifiering saknas. Parallellt rapporterade eSecurity Planet 2026-06-05 om att en nolldagssårbarhet identifierats i Comodo-programvara, vilken kan krascha Windows-system via felformaterade IPv6-paket — ingen patch hade vid publiceringstillfället släppts av leverantören [13] (C2 — Ganska pålitlig, Sannolikt sant). Vidare uppges Google ha åtgärdat en Android-nolldagssårbarhet som aktivt utnyttjades i riktade angrepp och möjliggjorde privilegieeskalering utan användarinteraktion [13]. Uppgifter från 2026-06-03 antyder att data kopplad till franska organisationer cirkulerar i underjordiska forum, baserat på signaler från övervakningskanalen Dark Web Intelligence, men det offentliga underlaget förblir begränsat och kan ännu inte verifieras [8] (C2 — Ganska pålitlig, Sannolikt sant). ### Bedömning Sammantaget pekar veckans rapportering mot ett mönster där hotaktörer konsekvent riktar in sig på serverinfrastruktur med hög privilegienivå — domänkontrollanter via Windows Netlogon och applikationsservrar via Oracle WebLogic — vilket skapar förutsättningar för laterala rörelser och dataexfiltration i drabbade miljöer. Givet att CISA bekräftat aktiv exploatering av tre separata sårbarheter under en och samma vecka (A2-källklassificerade), och att brittiska NCSC-varningen om komprometterade öppna kodbibliotek adresserar ett strukturellt problem i mjukvaruförsörjningskedjor, är det sannolikt (60–90 %) att europeiska organisationer som ännu inte har åtgärdat de aktuella Windows Netlogon- och Oracle WebLogic-sårbarheterna redan är exponerade för aktiva exploateringsförsök. Den obekräftade Krybit-aktören och det franska dataintrånget utgår från underlag med lägre tillförlitlighet och bör behandlas som möjliga (20–60 %) indikatorer på bredare aktivitet snarare än bekräftade incidenter tills verifiering föreligger. ## Uppföljningspunkter - **Windows Netlogon-sårbarhet (fjärrkodsexekvering, aktivt exploaterad):** CCB-varning publicerad 2026-06-01. Patch-status och eventuellt CVE-nummer ej bekräftat i tillgängliga källor — kräver verifiering mot Microsofts säkerhetsbulletin och CISA KEV-katalogen för att fastställa åtgärdsfrist för federala och europeiska myndigheter. - **Oracle WebLogic Server (kritisk sårbarhet, CISA KEV-tillagd 2026-06-01):** Ursprunglig Oracle-rådgivning daterad juli 2024 (AV24-401). Bindande åtgärdsfrist gäller för amerikanska federala myndigheter — relevant för svenska organisationer som nyttjar Oracle WebLogic i samhällsviktig verksamhet att kartlägga exponering. - **NCSC-varning om komprometterade öppna kodbibliotek (publicerad 2026-06-04):** Berör mjukvaruförsörjningskedjor strukturellt. Ansvarig part för uppföljning i svensk kontext: NCSC-SE/CERT-SE — ingen bekräftad svensk varning eller vägledning hade publicerats vid rapportperiodens slut. - **Kungliga krigsvetenskapsakademins rapport om hybridhotslagstiftning (2026-06-02):** Förordar ny juridisk kategori mellan fred och höjd beredskap. Lagstiftningsprocessens nästa steg — remiss eller utredningsdirektiv — är ännu inte offentliggjort och utgör en konkret uppföljningspunkt för att bedöma tidslinje. - **Comodo nolldagssårbarhet (IPv6, ingen patch vid publicering 2026-06-05):** Möjliggör systemkrasch via felformaterade IPv6-paket. Leverantörens patch-status okänd — bevaka Comodos säkerhetsbulletiner för bekräftelse av åtgärd. > **OBS:** Automatisk verifiering flaggade vissa påståenden för granskning. Verifiera nyckeluppgifter mot originalartiklarna. --- *Generated 2026-06-08 04:35 UTC from 13 priority articles (10 cited).* [1] aktuellsakerhet.se — https://www.aktuellsakerhet.se/nytt-kunskapscenter-ska-starka-skyddet-mot-insiderhot/ [2] sverigesradio.se — https://www.sverigesradio.se/artikel/9228743 [3] www.lansstyrelsen.se — http://www.lansstyrelsen.se/blekinge/om-oss/nyheter-och-press/nyheter---blekinge/2026-06-05-formagan-att-ateruppbygga---viktigt-for-totalforsvaret.html [5] helpnetsecurity.com — https://www.helpnetsecurity.com/2026/06/01/windows-netlogon-rce-exploited-cve-2026-41089/ [8] undercodenews.com — https://undercodenews.com/france-faces-emerging-data-breach-exposure-as-dark-web-intelligence-signals-fresh-leak-activity/ [9] us-cert.cisa.gov — https://www.cisa.gov/news-events/alerts/2026/06/02/cisa-adds-two-known-exploited-vulnerabilities-catalog [10] cisa.gov — https://www.cisa.gov/news-events/alerts/2026/06/03/cisa-adds-one-known-exploited-vulnerability-catalog [11] cyber.gc.ca — https://cyber.gc.ca/en/alerts-advisories/oracle-security-advisory-july-2024-quarterly-rollup-av24-401 [12] undercodenews.com — https://undercodenews.com/krybit-ransomware-allegations-and-oracle-weblogic-exploit-alert-signal-a-rising-wave-of-hybrid-cyber-attacks-across-europe-video/ [13] esecurityplanet.com — https://www.esecurityplanet.com/weekly-roundup/ai-threats-zero-days-and-data-breaches-define-this-week-of-june-2026-in-cybersecurity/