NCSC – CERT-SE veckobrev v.44

I veckans brev kan du läsa om att den norska nationella säkerhetsmyndigheten (NSM) höjer den nationella cyberrisknivån till hög. Du hittar även information om att sårbarheterna i PHP har lagts till i CISA:s KEV-katalog.

Som vanligt innehåller veckobrevet även ett urval av nyheter, rapporter och analyser inom cybersäkerhetssfären från veckan som har gått.

Trevlig helg!

Nyheter i veckan

Efter ett dataintrång hos biljettleverantören Visit misstänks nöjesparkerna Liseberg och Skansen ha utsatts för en möjlig stöld av personuppgifter. Skansen uppger att obehöriga ska ha fått tillgång till uppgifter om personer som bokat biljetter hos parken mellan den 23 och 26 oktober. Uppgifterna innehåller bland annat namn, adresser, telefonnummer och e-postadresser. Intrånget uppges inte omfatta betal- eller kortuppgifter från någon av parkerna.
(SVT, 28/10)
https://www.svt.se/nyheter/inrikes/misstankt-dataintrang-mot-nojesparker

Norges nationella säkerhetsmyndighet (NSM) höjer cyberrisknivån i landet till hög. Myndigheten varnar bland annat för en hög risk för cyberangrepp inom försvarssektorn, kritisk infrastruktur och leveranskedjor till verksamheter med betydelse för den nationella säkerheten. Det är första gången som NSM offentliggör nationella cyberrisknivåer, och motiverar offentliggörandet med att det är nödvändigt att stärka motståndskraften och förmågan hos norska verksamheter inom cyberområdet.
(NSM, 27/10)
https://nsm.no/aktuelt/nsm-hever-det-nasjonale-cyberrisikonivaet-til-hoyt

Regeringskansliet har infört en spärr för Chat GPT och Claude, vilket innebär att AI-tjänsterna inte längre kan nås från personalens tjänstedatorer. Enligt Sveriges Radio har spärrar för AI-tjänster även införts på Skatteverket och Statens institutionsstyrelse.
(Sveriges Radio, 23/10)
https://www.sverigesradio.se/artikel/chat-gpt-och-claude-forbjuder-regeringskansliet

Köpenhamns universitet har bekräftat att angripare fått åtkomst till en av universitets testmiljöer. Testmiljön innehöll uppgifter om cirka 500 000 personer, däribland namn, personnummer, telefonnummer och mejladresser. Universitetet meddelar i en uppdatering att PIN-koder för omkring 20 000 studenter och personal har exponerats, men att samtliga av koderna har ändrats.
(Univeristy of Copenhagen, 23/10)
https://www.ku.dk/en/operational-disruptions-at-ucph

Rapporter och analyser

Check Point har identifierat en hotkampanj där hotaktörer utnyttjat det breda användandet av AI-verktyg för att sprida skadlig kod. I rapporten beskrivs hur hotaktörer efterliknat AI-applikationer som bland annat GPT-5.6 Sol och GPT-6 Astra, genom att använda falska GitHub-projekt, för att lura användare att ladda ned skadlig kod. Hotkampanjen uppges även ha använt sig av SEO-förgiftningsliknande tekniker för att få de falska AI-applikationerna att framstå som mer legitima.
(Check Point, 27/10)
https://research.checkpoint.com/2026/tricks-from-the-past-deployed-via-signed-chatgpt-and-claude-binaries/

Cybersäkerhetsföretaget Sansec rapporterar att en hotaktör har infekterat 953 onlinebutiker, de flesta baserade på Magento, med skadlig kod kopplat till en hotkampanj som pågått sedan juli 2025. Hotaktören har använt fem olika domäner under tidsperioden. I rapporten från Sansec finns även IoC:er.
(Sansec, 24/10)
https://sansec.io/research/magento-cms-block-loader-deepveindrilling

Det öppna källkodsverktyget LiteLLM som används av utvecklare för integration med olika AI-modeller, uppger i en rapport att orsaken till det leveranskedjeangrepp som inträffade tidigare i oktober bedöms vara en icke-återkallad åtkomstnyckel. Företaget ska för flera månader sedan ha publicerat en hemlig åtkomstnyckel av misstag. Misstaget upptäcktes och filen togs bort, men nyckeln återkallades inte.
(LiteLLM, 23/10)
https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain …
(The Record, 26/10)
https://therecord.media/litellm-hackers-ai-malware

Övrigt

Strävan efter större kontroll över den egna informationen gör att europeiska myndigheter allt mer använder alternativa lösningar till exempelvis amerikanska molntjänster. Bland annat har EU-kommissionen nyligen infört en Matrix-baserad applikation för meddelandekommunikation, som ska användas av cirka 40 000 anställda. I Sverige driver även Försäkringskassan en Matrix-baserad tjänst för 19 myndigheter.
(Computer Sweden, 27/10)
https://computersweden.se/article/4240194/matrix-vinner-mark-inom-den-europeiska-offentliga-sektorn-men-att-ersatta-teams-ar-en-helt-annan-sak.html

CISA har publicerat en ny strategi för att stärka det nationella cyberförsvaret och säkerheten inom kritisk infrastruktur i USA. Strategin syftar bland annat till att adressera ett komplext hotlandskap, stärka det nationella cyberförsvaret samt prioritera landets kritiska infrastruktur.
(CISA, 26/10)
https://www.cisa.gov/news-events/news/cisa-unveils-new-strategy-strengthen-national-cyber-defense-and-critical-infrastructure-security

Publicerat i veckan

NCSC - CERT-SE har publicerat information om en kritisk sårbarhet, CVE-2026-111497, i Google Brotli. Sårbarheten har fått en CVSS-klassning på 9.2, och möjliggör för en oautentiserad angripare att på distans orsaka överbelastning av system eller potentiellt exekvera godtycklig kod. CISA har lagt till sårbarheten i KEV-katalogen.
(NCSC - CERT-SE, 28/10)
https://www.cert.se/2026/10/kritisk-sarbarhet-i-google-brotli.html

Programmet för konferensen Svensk cyber 2026, som går av stapeln 23 november, har publicerats. På programmet finns bland annat den svenska cyberlägesbilden 2026, erfarenheter från verkliga cyberincidenter, AI som vapen och konkreta råd om hur organisationer kan stärka sin cybersäkerhet. För att så många som möjligt ska kunna ta del av konferensen erbjuds möjlighet att delta digitalt.
(NCSC, 27/10)
https://live.avalon.events/event/svensk-cyber-2026 …
https://www.ncsc.se/sv/aktuellt/svensk-cyber/

NCSC - CERT-SE har uppdaterat en artikel om de kritiska sårbarheterna i PHP. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 har lagts till i CISA:s KEV-katalog.
(NCSC - CERT-SE, 21/10)
https://www.cert.se/2026/10/kritiska-s%C3%A5rbarheter-i-php.html

NCSC - CERT-SE har uppdaterat en artikel om den kritiska sårbarheten i GitLab. Sårbarheten CVE-2026-97229 har lagts till i CISA:s KEV-katalog.
(NCSC - CERT-SE, 13/10)
https://www.cert.se/2026/10/gitlab-rattar-kritisk-sarbarhet.html

Den årliga CTF-utmaningen går mot sitt slut. Utmaningen vänder sig till alla med it-säkerhetsintresse oavsett kunskapsnivå. Sista dagen att skicka in svar är 31 oktober 2026.
(NCSC - CERT-SE, 2/10)
https://www.cert.se/2026/10/antar-du-var-utmaning.html