De allvarliga hoten kommer sedan över tio år tillbaka från angripare med hög kapacitet och närmast obegränsade resurser: statliga aktörer och grupper som använder attackkod mot sårbarheter innan någon patch finns, ibland innan tillverkaren ens vet att hålet existerar.For over ten years now the serious threats have come from attackers with high capability and near-unlimited resources: state actors and groups that use attack code against vulnerabilities before any patch exists, sometimes before the vendor even knows the hole is there.
Senaste exemplet, oktober 2026: PHP2Shell. Två kritiska hål i själva PHP-motorn. Angreppsförsök sågs redan 17 oktober, fyra dagar innan patchen fanns, och angreppskoden läckte ut ungefär 13 timmar innan patchen fanns. Miljontals webbservrar stod helt utan rättning.Latest example, October 2026: PHP2Shell. Two critical holes in the PHP engine itself. Attack attempts were seen as early as 17 October, four days before a patch existed, and the attack code leaked about 13 hours before a patch existed. Millions of web servers had no fix at all.
681sårbarheter lades till i KEV-indexet (Known Exploited Vulnerabilities) redan under de första åtta månaderna av 2026, enligt CISA. Det är kända sårbarheter som redan utnyttjas, en bredare och ännu större bild än zero-days ovan.vulnerabilities were added to the KEV index (Known Exploited Vulnerabilities) in just the first eight months of 2026, according to CISA. These are known vulnerabilities already being exploited, a broader and even larger picture than the zero-days above.
309 %av fjolårets takt. Ungefär 37 700 nya CVE-poster publicerades under tredje kvartalet 2026, mot 12 200 samma kvartal 2025, enligt NVD. Mer än en tredubbling av antalet kända sårbarheter på ett år.of last year’s rate. Around 37,700 new CVE records were published in the third quarter of 2026, against 12,200 in the same quarter of 2025, according to NVD. More than a tripling of known vulnerabilities in a year.
Det här har vi sagt länge: antalet kända sårbarheter kommer att fortsätta öka år för år. Automatiserad fuzzing och AI hittar fel i kod snabbare än någonsin, och samma verktyg finns hos angriparna, som dessutom kan ta fram fungerande angreppskod på timmar i stället för veckor. Samtidigt digitaliseras verksamheter i snabb takt utan tillräcklig kunskap om säkerhet: system kopplas upp mot internet, köps in och byggs ihop utan att någon riktigt vet vad som exponeras. Kurvan ovan är ingen tillfällig topp, den är den nya normalen.We have been saying this for a long time: the number of known vulnerabilities will keep rising year after year. Automated fuzzing and AI find bugs in code faster than ever, and the attackers have the same tools, and can now produce working attack code in hours instead of weeks. At the same time organisations are digitalising fast without enough security knowledge: systems are connected to the internet, bought in and stitched together without anyone really knowing what is exposed. The curve above is not a temporary peak, it is the new normal.
Så hittas hålen: en fuzzer matar ett program med miljontals automatiskt varierade, trasiga och oväntade indata och letar efter det som får programmet att krascha eller bete sig fel. Varje krasch är en möjlig sårbarhet. AI gör det snabbare och smartare: den läser koden, föreslår var felen troligen sitter, skriver fuzzningen och hjälper till att avgöra vilka krascher som går att utnyttja. Det som förr krävde ett team av specialister kan i dag göras av vem som helst med en egen AI och en vanlig dator.How the holes are found: a fuzzer feeds a program millions of automatically varied, broken and unexpected inputs and looks for whatever makes it crash or misbehave. Every crash is a possible vulnerability. AI makes it faster and smarter: it reads the code, suggests where the bugs are likely to be, writes the fuzzing and helps decide which crashes can be exploited. What once took a team of specialists can today be done by anyone with their own AI and an ordinary computer.
Och alla hål publiceras inte. Siffran 309 % räknar bara det som rapporteras och får ett CVE-nummer. Statliga aktörer, kriminella grupper och exploit-mäklare som hittar ett hål har ofta mer att vinna på att hålla det hemligt och använda det, som en zero-day, än på att rapportera det. De hålen syns inte i någon statistik förrän de upptäcks i en attack, som ProxyLogon i Exchange eller bakdörren i SolarWinds. Det verkliga antalet sårbarheter, och zero-days, är därför med största sannolikhet betydligt fler än kurvan visar.And not every hole is published. The 309 % figure only counts what gets reported and receives a CVE number. State actors, criminal groups and exploit brokers who find a hole often gain more by keeping it secret and using it, as a zero-day, than by reporting it. Those holes appear in no statistics until they are discovered in an attack, like ProxyLogon in Exchange or the SolarWinds backdoor. The real number of vulnerabilities, and of zero-days, is therefore very likely considerably higher than the curve shows.
Lägstanivån måste höjas. Tjänster och nätverk behöver en arkitektur som skyddar även mot det okända: lager av skydd, övervakning och en strategi anpassad efter de egna systemen, inte bara skydd mot redan kända attacker. Samtidigt blottar fler och fler sina system mot internet, och bland dem finns samhällsviktiga verksamheter: vatten, el, sjukvård, infrastruktur och banker.The baseline must be raised. Services and networks need an architecture that protects against the unknown too: layers of defence, monitoring and a strategy fitted to your own systems, not just protection against already-known attacks. At the same time more and more expose their systems to the internet, among them essential services: water, power, healthcare, infrastructure and banks.
Det är inte bara säkerhetsfolk som behöver förstå säkerhet. Programmerare, ledare, beslutsfattare, arkitekter, beställare och användare behöver alla höja sin nivå. Så förändras säkerhetskulturen, och så kommer säkerheten tidigt upp på agendan i stället för sist.It is not only security people who need to understand security. Programmers, leaders, decision-makers, architects, buyers and users all need to raise their level. That is how the security culture changes, and how security reaches the agenda early instead of last.
Och då har vi ännu inte nämnt skadlig kod, svaga krypteringsalgoritmer, plugins och kodmoduler från okända källor, eller supply chain-attacker som SolarWinds, där en enda komprometterad leverantör nådde omkring 18 000 organisationer.And we have not even mentioned malware, weak cryptographic algorithms, plugins and code modules from unknown sources, or supply chain attacks like SolarWinds, where a single compromised supplier reached around 18,000 organisations.