De allvarliga hoten kommer sedan över tio år tillbaka från angripare med hög kapacitet och närmast obegränsade resurser: statliga aktörer och grupper som använder attackkod mot sårbarheter innan någon patch finns, ibland innan tillverkaren ens vet att hålet existerar.For over ten years now the serious threats have come from attackers with high capability and near-unlimited resources: state actors and groups that use attack code against vulnerabilities before any patch exists, sometimes before the vendor even knows the hole is there.
Senaste exemplet, 2 november 2026: cyberattacker mot matbutikers kylar och frysar. Natten till måndagen den 2 november 2026 drabbades ett 30-tal svenska matbutiker av en misstänkt hackerattack riktad mot uppkopplade kyl- och fryssystem. Attackerna utnyttjade äldre system som stod öppna mot internet med svaga lösenord och kända säkerhetsbrister. Samma natt rapporterades liknande attacker i flera andra europeiska länder, och i Frankrike hade omkring 700 butiker drabbats redan natten 11–12 oktober 2026. Den 9 november 2026 pekade Frankrike ut Iran för attacken.Latest example, 2 November 2026: cyberattacks on grocery stores’ fridges and freezers. Overnight into Monday 2 November 2026, some 30 Swedish grocery stores were hit by a suspected hacker attack aimed at connected refrigeration and freezer systems. The attacks exploited older systems left open to the internet with weak passwords and known security flaws. The same night similar attacks were reported in several other European countries, and in France around 700 stores had already been hit on the night of 11–12 October 2026. On 9 November 2026 France blamed Iran for the attack.
Exemplet före, 17–21 oktober 2026: PHP2Shell. Två kritiska hål i själva PHP-motorn. Angreppsförsök sågs redan 17 oktober, fyra dagar innan patchen fanns, och angreppskoden läckte ut ungefär 13 timmar innan patchen fanns. Miljontals webbservrar stod helt utan rättning.The example before, 17–21 October 2026: PHP2Shell. Two critical holes in the PHP engine itself. Attack attempts were seen as early as 17 October, four days before a patch existed, and the attack code leaked about 13 hours before a patch existed. Millions of web servers had no fix at all.
289sårbarheter har lagts till i CISA:s KEV-katalog (Known Exploited Vulnerabilities) hittills under 2026, till och med 9 november, enligt CISA. Redan fler än under hela 2025 (245). Det är kända sårbarheter som redan utnyttjas, en bredare bild än zero-days ovan.vulnerabilities have been added to CISA’s KEV catalog (Known Exploited Vulnerabilities) so far in 2026, up to 9 November, according to CISA. Already more than in all of 2025 (245). These are known vulnerabilities already being exploited, a broader picture than the zero-days above.
309 %av fjolårets takt. Ungefär 37 700 nya CVE-poster publicerades under tredje kvartalet 2026, mot 12 200 samma kvartal 2025, enligt NVD. Mer än en tredubbling av antalet kända sårbarheter på ett år. Och takten ökar: 1 oktober–10 november 2026 kom 21 846 nya CVE:er, mot 5 407 samma period 2025, fyra gånger fler.of last year’s rate. Around 37,700 new CVE records were published in the third quarter of 2026, against 12,200 in the same quarter of 2025, according to NVD. More than a tripling of known vulnerabilities in a year. And the pace is rising: 1 October–10 November 2026 brought 21,846 new CVEs, against 5,407 in the same period of 2025, four times as many.
Det här har vi sagt länge: antalet kända sårbarheter kommer att fortsätta öka år för år. Automatiserad fuzzing och AI hittar fel i kod snabbare än någonsin, och samma verktyg finns hos angriparna, som dessutom kan ta fram fungerande angreppskod på timmar i stället för veckor. Samtidigt digitaliseras verksamheter i snabb takt utan tillräcklig kunskap om säkerhet: system kopplas upp mot internet, köps in och byggs ihop utan att någon riktigt vet vad som exponeras. Kurvan ovan är ingen tillfällig topp, den är den nya normalen.We have been saying this for a long time: the number of known vulnerabilities will keep rising year after year. Automated fuzzing and AI find bugs in code faster than ever, and the attackers have the same tools, and can now produce working attack code in hours instead of weeks. At the same time organisations are digitalising fast without enough security knowledge: systems are connected to the internet, bought in and stitched together without anyone really knowing what is exposed. The curve above is not a temporary peak, it is the new normal.
Så hittas hålen: en fuzzer matar ett program med miljontals automatiskt varierade, trasiga och oväntade indata och letar efter det som får programmet att krascha eller bete sig fel. Varje krasch är en möjlig sårbarhet. AI gör det snabbare och smartare: den läser koden, föreslår var felen troligen sitter, skriver fuzzningen och hjälper till att avgöra vilka krascher som går att utnyttja. Det som förr krävde ett team av specialister kan i dag göras av vem som helst med en egen AI och en vanlig dator.How the holes are found: a fuzzer feeds a program millions of automatically varied, broken and unexpected inputs and looks for whatever makes it crash or misbehave. Every crash is a possible vulnerability. AI makes it faster and smarter: it reads the code, suggests where the bugs are likely to be, writes the fuzzing and helps decide which crashes can be exploited. What once took a team of specialists can today be done by anyone with their own AI and an ordinary computer.
Och alla hål publiceras inte. Siffran 309 % räknar bara det som rapporteras och får ett CVE-nummer. Statliga aktörer, kriminella grupper och exploit-mäklare som hittar ett hål har ofta mer att vinna på att hålla det hemligt och använda det, som en zero-day, än på att rapportera det. De hålen syns inte i någon statistik förrän de upptäcks i en attack, som ProxyLogon i Exchange eller bakdörren i SolarWinds. Det verkliga antalet sårbarheter, och zero-days, är därför med största sannolikhet betydligt fler än kurvan visar.And not every hole is published. The 309 % figure only counts what gets reported and receives a CVE number. State actors, criminal groups and exploit brokers who find a hole often gain more by keeping it secret and using it, as a zero-day, than by reporting it. Those holes appear in no statistics until they are discovered in an attack, like ProxyLogon in Exchange or the SolarWinds backdoor. The real number of vulnerabilities, and of zero-days, is therefore very likely considerably higher than the curve shows.
Poängen blir tydligare och tydligare. Säkerhetshål hittas i allt snabbare takt: 96 700 nya CVE:er hittills i år, och under hösten fyra gånger fler än samma period i fjol. Attackkoden tas fram på allt kortare tid: för PHP2Shell låg den ute på nätet innan patchen ens fanns. Det krävs inte längre stora resurser. Med en lokal LLM på en vanlig dator, utan att något lämnar huset och utan att någon ser det, går det att leta sårbarheter i de flesta programvaror. Samtidigt lägger hotaktörerna allt större resurser på cyberattacker, och statliga aktörer slår nu mot vardagens system, som kylarna i matbutikerna. Lösningen är återigen flera lager av skydd. När hålen hittas snabbare än de kan patchas måste nästa lager hålla när det första faller: minimal exponering mot internet, segmentering, stark autentisering, IDS/IPS, övervakning och minsta möjliga behörighet.The point is getting clearer and clearer. Security holes are being found ever faster: 96,700 new CVEs so far this year, and this autumn four times as many as the same period last year. Attack code is produced in ever shorter time: for PHP2Shell it was out on the net before the patch even existed. Large resources are no longer needed. With a local LLM on an ordinary computer, with nothing leaving the building and nobody watching, it is possible to hunt for vulnerabilities in most software. At the same time threat actors are putting ever greater resources into cyberattacks, and state actors now strike at everyday systems, like the fridges in grocery stores. The answer, once again, is multiple layers of defence. When holes are found faster than they can be patched, the next layer has to hold when the first one falls: minimal internet exposure, segmentation, strong authentication, IDS/IPS, monitoring and least privilege.
Lägstanivån måste höjas. Tjänster och nätverk behöver en arkitektur som skyddar även mot det okända: lager av skydd, övervakning och en strategi anpassad efter de egna systemen, inte bara skydd mot redan kända attacker. Samtidigt blottar fler och fler sina system mot internet, och bland dem finns samhällsviktiga verksamheter: vatten, el, sjukvård, infrastruktur och banker.The baseline must be raised. Services and networks need an architecture that protects against the unknown too: layers of defence, monitoring and a strategy fitted to your own systems, not just protection against already-known attacks. At the same time more and more expose their systems to the internet, among them essential services: water, power, healthcare, infrastructure and banks.
Det är inte bara säkerhetsfolk som behöver förstå säkerhet. Programmerare, ledare, beslutsfattare, arkitekter, beställare och användare behöver alla höja sin nivå. Så förändras säkerhetskulturen, och så kommer säkerheten tidigt upp på agendan i stället för sist.It is not only security people who need to understand security. Programmers, leaders, decision-makers, architects, buyers and users all need to raise their level. That is how the security culture changes, and how security reaches the agenda early instead of last.
Och då har vi ännu inte nämnt skadlig kod, svaga krypteringsalgoritmer, plugins och kodmoduler från okända källor, eller supply chain-attacker som SolarWinds, där en enda komprometterad leverantör nådde omkring 18 000 organisationer.And we have not even mentioned malware, weak cryptographic algorithms, plugins and code modules from unknown sources, or supply chain attacks like SolarWinds, where a single compromised supplier reached around 18,000 organisations.