Samma vecka i oktober 2026 dök två kritiska säkerhetsbrister upp i produkter som sitter i hjärtat av tusentals nordiska nätverk. Den 14 oktober publicerade Palo Alto Networks en säkerhetsuppdatering för CVE-2026-0322, en sårbarhet i hanteringsgränssnittet för PAN-OS som ger en autentiserad angripare möjlighet att köra kod med root-rättigheter på brandväggen. Två dagar tidigare, den 12 oktober, hade GitLab tvingats lappa CVE-2026-97229, en brist med maxpoängen CVSS 10,0 som låter en oautentiserad angripare köra godtycklig kod via en specialbyggd reguljär uttryck i en CI/CD-konfiguration. CERT-SE tog med båda i sitt veckobrev för vecka 42, publicerat 16 oktober och uppdaterat dagen efter.
Det är ingen slump att det händer just nu. Oktober är cybersäkerhetsmånaden, och enligt säkerhetssajten eBuilder Security ökade antalet cyberattacker mot Sverige med 73 procent i september, en siffra som Check Point stod bakom. Samtidigt trädde nya NIS2-regler i kraft den 1 oktober som gör multifaktorsautentisering och intrångsdetektering till ett lagkrav för tusentals svenska verksamheter. När två leverantörer med stor nordisk kundbas larmar om kritiska brister samma vecka som lagstiftningen skärps, blir frågan akut för varje IT-avdelning som kör Palo Alto-brandväggar eller egna GitLab-instanser: hur allvarligt är läget, och vad ska göras först?
CVE-2026-0322: zero-day i Palo Altos PAN-OS
Palo Alto Networks beskriver i sin egen säkerhetsrådgivning att sårbarheten “enables an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall”. På svenska betyder det att en angripare som redan har ett giltigt konto, eller som har stulit inloggningsuppgifter, kan ta full kontroll över enheten så fort hen når hanteringsgränssnittet över nätverket. Root-rättigheter innebär inget mindre än total kontroll: brandväggens regler, loggar, VPN-tunnlar och trafikstyrning hamnar i angriparens händer.
Det som gör CVE-2026-0322 särskilt allvarlig är att den redan utnyttjas. Palo Alto Networks skriver i sitt meddelande att “very limited exploitation has been observed targeting the Palo Alto Networks management interface”. Ordet “limited” ska inte tolkas som harmlöst. Den amerikanska cybersäkerhetsmyndigheten CISA reagerade med att ge federala myndigheter en frist på bara tre dagar för att patcha, en extremt kort tidsram som normalt reserveras för sårbarheter som redan används i riktade attacker mot kritisk infrastruktur.
För svenska organisationer är PAN-OS ingen nischprodukt. Palo Alto-brandväggar sitter hos myndigheter, banker och tillverkningsföretag över hela landet, ofta placerade precis i gränsen mellan det interna nätverket och internet. Ett hanteringsgränssnitt som är exponerat mot internet, vilket fortfarande förekommer trots upprepade varningar från leverantören själv, gör attacken betydligt enklare att genomföra på distans.
Så fungerar attacken mot hanteringsgränssnittet
Attackkedjan bygger på att hanteringsgränssnittet, det vill säga den webbaserade administrationspanelen för PAN-OS, nås över nätverket. I en korrekt härdad installation ska det gränssnittet aldrig vara tillgängligt från det öppna internet, utan enbart från ett begränsat administrationsnät eller via en separat hanteringsport. Problemet är att många organisationer av bekvämlighetsskäl, eller på grund av föråldrad nätverksdokumentation, har lämnat gränssnittet mer exponerat än tänkt.
När en angripare väl har ett konto, antingen genom stulna uppgifter, en tidigare attack eller ett internt hot, kan sårbarheten användas för att eskalera från en vanlig autentiserad session till root-nivå. Det skiljer CVE-2026-0322 från rena zero-click-attacker, men i praktiken sänker kravet på “autentiserad åtkomst” ribban rejält eftersom lösenordsåterbruk och nätfiske fortsätter att vara de vanligaste vägarna in i företagsnät enligt upprepade branschrapporter de senaste åren.
CERT-SE rekommenderar i sitt veckobrev att organisationer installerar Palo Altos säkerhetsuppdateringar omedelbart och, i väntan på patchning, kontrollerar att hanteringsgränssnittet inte är nåbart från internet. Det är ett råd som låter enkelt men som i praktiken kräver en genomgång av brandväggsregler, VPN-konfigurationer och eventuella molnbaserade hanteringsportaler, ett arbete som för större organisationer kan ta dagar snarare än timmar.
GitLab CVE-2026-97229: CVSS 10,0 i CI/CD-motorn
Medan Palo Alto-sårbarheten kräver ett konto, kräver GitLabs brist ingenting alls. CVE-2026-97229 fick den högsta möjliga allvarlighetsgraden, CVSS 10,0, eftersom den går att utnyttja helt utan autentisering. GitLab beskriver problemet så här i sin säkerhetsrådgivning: “GitLab has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation”.
I klartext: en angripare behöver bara skicka in en CI/CD-konfigurationsfil med en specialbyggd reguljär uttryck, en teknik som brukar handla om hur en regex-motor hanterar felaktigt validerad indata, och får koden att exekveras på servern. Eftersom GitLab ofta hanterar källkod, hemligheter, byggpipelines och driftsättning i ett och samma system, innebär en lyckad attack att angriparen potentiellt når allt från kundkod till produktionsnycklar i ett enda steg.
GitLab uppmanar i sin rådgivning till omedelbar uppdatering och skriver att de nya versionerna “contain important bug and security fixes, and we strongly recommend that all self-managed GitLab installations be upgraded to one of these versions immediately”, enligt rapportering från Cybersecurity Dive. Det riktar sig specifikt till organisationer som kör GitLab på egen infrastruktur snarare än via GitLab.com, vilket är vanligt bland svenska techbolag, banker och myndigheter som av regulatoriska skäl vill hålla källkoden på egen mark.
Det är värt att jämföra med den tidigare GitLab-sårbarheten CVE-2026-85706, som också nådde CVSS 10,0 och drabbade uppskattningsvis 86 000 servrar världen över tidigare under 2026. Att samma leverantör på kort tid levererar en andra maxklassad sårbarhet säger något om hur komplext en modern DevSecOps-plattform har blivit, med dussintals komponenter som alla måste härdas separat.
Citrix NetScaler och Norges varning: samma mönster upprepas
Palo Alto och GitLab är inte ensamma om att ha haft en tuff oktober. Norges nationella säkerhetsmyndighet NSM gick ut med en varning redan lördagen den 3 oktober om en ny, aktivt utnyttjad zero-day-sårbarhet i Citrix NetScaler. En säkerhetsuppdatering följde dagen efter och uppdaterades ytterligare den 6 oktober. Mönstret är nästan identiskt med det som senare drabbade Palo Alto: en edge-produkt, det vill säga utrustning som sitter i frontlinjen mot internet, med en sårbarhet som redan hade börjat exploateras innan patchen fanns tillgänglig.
Citrix NetScaler har under de senaste åren blivit ett återkommande mål, och svenska organisationer som fortfarande kör NetScaler-instanser bör se den norska varningen som ytterligare ett argument för att ha en snabb patchprocess för just denna produktkategori. CERT-SE:s veckobrev för vecka 38, publicerat redan i september, flaggade dessutom för CVE-2026-76460 i Cisco Identity Services Engine, en sårbarhet i ett API som en oautentiserad angripare kunde utnyttja. Tre olika leverantörer, tre olika produkttyper, men samma grundmönster: kritisk infrastruktur i nätverkskanten som attackeras innan lappen är klar.
Samma vecka som Palo Alto-larmet gick ut publicerade CERT-SE även information om en kritisk brist i Fortinets e-postprodukt FortiMail, enligt myndighetens nyhetsflöde. Listan av drabbade leverantörer under bara sex veckor, september och oktober 2026, omfattar nu Cisco, Citrix, Fortinet, GitLab och Palo Alto. Det är fem stora namn inom nätverks- och infrastruktursäkerhet, vilket understryker att problemet inte handlar om en enskild leverantörs kvalitetsbrister utan om en strukturell utmaning i hur edge-produkter byggs och underhålls.
Cybersäkerhetsmånaden 2026: siffrorna bakom larmet
Att dessa sårbarheter landar just under cybersäkerhetsmånaden förstärker uppmärksamheten, men siffrorna bakom larmen hade varit allvarliga oavsett kalender. Enligt eBuilder Security ökade antalet cyberattacker mot Sverige med 73 procent i september 2026, en ökning som tillskrivs Check Points mätningar. Samma rapport pekar på att en kommun i Skåne stängde av samtliga sina system den 1 oktober, exakt samma dag som de nya NIS2-reglerna gjorde multifaktorsautentisering och intrångsdetektering till ett lagkrav för tusentals verksamheter i Sverige.
Det sammanfallet är talande. En kommun som stänger av allt är sällan resultatet av en avancerad statsaktör, utan oftare en konsekvens av grundläggande kontroller som antingen fungerade eller inte fungerade, för att låna formuleringen från eBuilder Securitys analys av händelsen. Samma logik gäller för både PAN-OS- och GitLab-sårbarheterna: patchhantering, nätverkssegmentering och begränsning av vilka gränssnitt som exponeras mot internet är grundläggande kontroller som inte kräver en stor säkerhetsbudget, bara disciplin.
CERT-SE själva har passat på att lansera en årlig utmaning, en så kallad capture-the-flag-tävling, under cybersäkerhetsmånaden för att höja den tekniska kompetensen hos svenska IT-avdelningar. Timingen är knappast en slump: myndigheten vill att samma personer som ska läsa veckobrevet om CVE-2026-0322 och CVE-2026-97229 också övar på att faktiskt hitta och åtgärda sårbarheter i praktiken.
Historisk kontext: brandväggar som förstalinjens mål
Att brandväggar och VPN-enheter hamnar i skottgluggen är inget nytt för 2026. Sedan 2023 har en strid ström av zero-day-sårbarheter drabbat just denna produktkategori, med namn som Fortinet, Ivanti, Citrix och nu återkommande Palo Alto i statistiken. Anledningen är enkel ur en angripares perspektiv: en brandvägg sitter redan i nätverkets mest privilegierade position, med insyn i all trafik som passerar, och ett lyckat intrång ger omedelbart fotfäste djupt inne i offrets infrastruktur utan att behöva ta omvägen via en vanlig arbetsstation.
Det som skiljer 2026 från tidigare år är hastigheten med vilken sårbarheter går från upptäckt till aktivt utnyttjande. CISA:s beslut att ge myndigheter bara tre dagar att patcha CVE-2026-0322 är ett konkret mått på hur komprimerat tidsfönstret har blivit. För några år sedan räknades en vecka som en stram men hanterbar deadline för kritiska brister. I dag är tre dygn det nya normala för sårbarheter som redan exploateras i det fria.
Samma utveckling syns i GitLab-fallet. Att en reguljär uttryck-motor, en komponent som funnits i mjukvara i decennier, plötsligt blir ingången till en CVSS 10,0-sårbarhet visar att angriparnas sökande efter svagheter har blivit mer systematiskt och täcker fler lager av mjukvarustacken än tidigare, från nätverksutrustningens hanteringsgränssnitt ner till de minsta parsningsrutinerna i en CI/CD-pipeline.
Konkurrensjämförelse: hur leverantörerna hanterar zero-days
Hur en leverantör agerar efter upptäckt säger ofta mer om säkerhetsmognaden än antalet sårbarheter i sig. Palo Alto Networks publicerade sin rådgivning för CVE-2026-0322 samma dag som patchen blev tillgänglig och gav konkreta kompenserande åtgärder, som att stänga internetexponering av hanteringsgränssnittet, för kunder som ännu inte hunnit patcha. GitLab valde en liknande väg: tydlig teknisk beskrivning av grundorsaken, bristande validering av reguljära uttryck, och en direkt rekommendation om omedelbar uppgradering för alla självhostade installationer.
Citrix och NSM:s hantering av NetScaler-zero-dayen följde samma mall, med en initial varning följd av en uppdaterad notis några dagar senare när mer information blev tillgänglig. Det är en process som har blivit tydligt standardiserad över branschen. Upptäck, varna med begränsad information för att inte hjälpa angripare, patcha, och publicera sedan fullständiga tekniska detaljer när de flesta kunder hunnit uppdatera.
Skillnaden mellan leverantörerna ligger mer i exponeringen än i hanteringen. Palo Altos brandväggar och Citrix NetScaler är nätverksenheter som per definition exponeras mot internet, vilket gör varje sårbarhet i dem direkt angripbar utan mellansteg. GitLab-instanser är ofta något bättre skyddade bakom företagets interna nätverk eller VPN, men eftersom CVE-2026-97229 inte krävde autentisering alls spelade den skillnaden mindre roll än vanligt.
Marknadspåverkan: förtroende, budgetar och börsreaktioner
Kritiska sårbarheter hos stora leverantörer som Palo Alto Networks och GitLab triggar sällan omedelbara, dramatiska börsrörelser på egen hand, men de ackumuleras i ett mönster som påverkar inköpsbeslut på medellång sikt. Säkerhetschefer som redan planerar budgetar för 2027 lägger nu in extra poster för snabbare patchcykler, segmenteringsprojekt och i vissa fall en översyn av vilka edge-produkter som ska exponeras direkt mot internet över huvud taget.
För GitLab, som konkurrerar med GitHub och Bitbucket om företagskunder inom DevSecOps, är en andra CVSS 10,0-sårbarhet på kort tid ett bevis för kunderna att väga mot fördelarna med självhostad kod. Många svenska organisationer väljer GitLab just för att behålla kontrollen över sin källkod på egen infrastruktur, men den kontrollen för också med sig ansvaret att patcha i samma takt som leverantören släpper uppdateringar, ett ansvar som inte alla organisationer klarar i praktiken.
För Palo Alto Networks, som är en av de största aktörerna inom nätverkssäkerhet globalt och har en betydande kundbas i Norden, handlar det snarare om att upprätthålla förtroendet för att hanteringsgränssnitt, den mest känsliga delen av en brandvägg, verkligen hålls säkra. Upprepade sårbarheter i just den komponenten riskerar att driva kunder mot alternativa lösningar eller mot en strikt policy om att aldrig exponera hanteringsgränssnitt mot internet, oavsett leverantör.
Expertrösterna: vad säger Palo Alto och GitLab
Palo Alto Networks är tydliga i sin tekniska beskrivning av riskens omfattning. Företaget skriver att sårbarheten “enables an authenticated attacker with network access to execute arbitrary code with root privileges on the firewall”, en formulering som lämnar föga tvivel om allvaret: root-rättigheter betyder att angriparen i praktiken äger enheten. Samtidigt nyanserar Palo Alto Networks bilden av hur utbrett utnyttjandet är och konstaterar att “very limited exploitation has been observed targeting the Palo Alto Networks management interface”, enligt CSO Online.
GitLab är lika tydliga om grundorsaken till sin egen brist och beskriver att plattformen “has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation”. Företaget avslutar sin rådgivning med en rekommendation som inte lämnar utrymme för tolkning: uppgradera omedelbart, enligt rapportering från Cybersecurity Dive.
Det gemensamma i båda leverantörernas kommunikation är bristen på undanflykter. Ingen av dem tonar ner den tekniska allvarlighetsgraden, vilket skiljer sig från hur en del mindre leverantörer historiskt har hanterat liknande situationer. Det är en kommunikationsstil som gynnar kunderna, eftersom den gör det lättare för IT-avdelningar att prioritera rätt utan att behöva gissa sig till den verkliga risknivån.
Tabell: tidslinjen för oktobers sårbarheter
Händelserna sprider sig över nästan hela månaden, vilket gör att IT-avdelningar som bara läser nyheterna sporadiskt lätt missar helhetsbilden. Tabellen nedan samlar de viktigaste datumen från CERT-SE, NSM och leverantörerna själva.
| Datum (2026) | Händelse | Källa |
|---|---|---|
| 3 oktober | NSM varnar om aktivt utnyttjad zero-day i Citrix NetScaler | NSM |
| 4 oktober | Citrix säkerhetsuppdatering publiceras | NSM |
| 6 oktober | NSM:s notis om Citrix-uppdateringen uppdateras | NSM |
| 12 oktober | GitLab publicerar fix för CVE-2026-97229, CVSS 10,0 | GitLab / BleepingComputer |
| 14 oktober | Palo Alto Networks publicerar rådgivning för CVE-2026-0322 | Palo Alto Networks |
| 14-15 oktober | CISA ger federala myndigheter tre dagars patchfrist | CSO Online |
| 15 oktober | Check Point-siffror visar 73 procents ökning av attacker mot Sverige i september | eBuilder Security |
| 16-17 oktober | CERT-SE publicerar och uppdaterar veckobrev v.42 med båda sårbarheterna | CERT-SE |
Tabell: jämförelse av de fyra sårbarheterna
För att sätta CVE-2026-0322 och CVE-2026-97229 i perspektiv är det värt att ställa dem bredvid de andra kritiska bristerna som nordiska myndigheter har flaggat för under samma period.
| Sårbarhet | Produkt | Krav på autentisering | Status |
|---|---|---|---|
| CVE-2026-0322 | Palo Alto PAN-OS, hanteringsgränssnitt | Ja, autentiserad | Begränsad aktiv exploatering, patch tillgänglig |
| CVE-2026-97229 | GitLab, CI/CD-motor | Nej, oautentiserad | CVSS 10,0, patchad 12 oktober |
| Citrix NetScaler zero-day | Citrix NetScaler | Varierar, aktivt utnyttjad | Patch tillgänglig sedan 4 oktober |
| CVE-2026-76460 | Cisco Identity Services Engine, API | Nej, oautentiserad | Flaggad av CERT-SE vecka 38 |
Vad svenska IT-avdelningar bör göra nu
Det första och viktigaste steget är trivialt att formulera men ofta tungt att genomföra: patcha. För Palo Alto-kunder innebär det att uppdatera PAN-OS till den version som adresserar CVE-2026-0322 och, i väntan på det, säkerställa att hanteringsgränssnittet inte går att nå från det öppna internet. Ett enkelt sätt att kontrollera detta är att skanna organisationens egna publika IP-adresser och leta efter öppna administrationsportar.
nmap -p 443,4443,8443 --open -sV din-organisations-ip-intervall/24En sådan skanning ger en snabb översikt över vilka tjänster som faktiskt exponeras, men den ersätter inte en fullständig inventering av brandväggsregler. För GitLab-kunder som driver egna instanser är rådet enkelt: uppgradera till den fixade versionen omedelbart, oavsett om organisationen tror sig vara ett lågprioriterat mål. Eftersom CVE-2026-97229 inte kräver autentisering spelar det ingen roll hur “ointressant” en organisation tror sig vara för angripare, eftersom massautomatiserad skanning efter sårbara GitLab-instanser brukar starta inom dagar efter en offentlig rådgivning.
Utöver den akuta patchningen bör säkerhetsansvariga använda tillfället till att se över hela sin exponering mot internet. Med NIS2 numera gällande lag för tusentals svenska verksamheter sedan 1 oktober är multifaktorsautentisering och intrångsdetektering inte längre frivilliga rekommendationer utan juridiska krav. Att kombinera den regulatoriska deadlinen med veckans två kritiska sårbarheter ger ett naturligt tillfälle att driva igenom budget för segmentering, loggning och snabbare patchprocesser som annars riskerar att fastna i interna prioriteringsdiskussioner.
- Patcha PAN-OS till version som åtgärdar CVE-2026-0322 och begränsa hanteringsgränssnittets exponering
- Uppgradera alla självhostade GitLab-installationer för att stänga CVE-2026-97229
- Verifiera patchstatus på Citrix NetScaler och Cisco ISE enligt NSM:s och CERT-SE:s tidigare varningar
- Gå igenom brandväggsregler för att säkerställa att inga administrationsgränssnitt är öppna mot internet
- Dokumentera åtgärderna med tanke på NIS2:s krav på incidentrapportering och grundläggande säkerhetskontroller
Prognoser: vad händer härnäst
Baserat på mönstret från september och oktober går det att skissa några rimliga utvecklingslinjer för resten av 2026 och in i 2027. Den första är att fler edge-produkter sannolikt kommer att drabbas av liknande zero-days innan årsskiftet, eftersom angripare som redan har investerat tid i att hitta sårbarheter i en produktkategori ofta fortsätter söka i närliggande produkter från samma eller konkurrerande leverantörer.
Den andra prognosen rör patchfönstren. Om CISA:s tre dagars frist för CVE-2026-0322 blir normen snarare än undantaget, kommer organisationer som fortfarande planerar patchar på veckobasis att hamna strukturellt efter. Det tvingar fram antingen snabbare interna processer eller ett ökat beroende av kompenserande kontroller, som nätverkssegmentering, som kan hålla stånd medan en formell patchprocess löper.
Den tredje prognosen handlar om GitLab och liknande DevSecOps-plattformar. Efter att ha haft två CVSS 10,0-sårbarheter under 2026, inklusive den tidigare CVE-2026-85706, är det troligt att GitLab kommer att investera ytterligare i automatiserad fuzzning av sin kodbas, särskilt kring parsning av användarstyrd indata som reguljära uttryck och CI/CD-konfiguration.
Den fjärde prognosen gäller Sverige specifikt. Med NIS2 nu i full kraft och Check Points siffror om en 73-procentig ökning av attacker i september, är det troligt att fler svenska kommuner och mellanstora företag kommer att rapportera incidenter under resten av 2026, delvis på grund av bättre upptäckt snarare än enbart fler attacker. Lagkravet på rapportering gör att mörkertalet, incidenter som tidigare aldrig nådde offentligheten, sannolikt kommer att minska.
Den femte och sista prognosen rör CERT-SE:s roll. Myndighetens veckobrev har blivit en allt viktigare samlingspunkt för att hålla reda på en situation där flera stora leverantörer publicerar kritiska rådgivningar inom loppet av dagar från varandra. Det är troligt att fler organisationer kommer att prenumerera direkt på CERT-SE:s utskick snarare än att förlita sig på att nyheterna når dem via andra kanaler, särskilt efter en månad där missade patchar kan innebära root-åtkomst för en angripare.
Vanliga frågor
Vad är CVE-2026-0322?
Det är en sårbarhet i hanteringsgränssnittet för Palo Alto Networks PAN-OS som låter en autentiserad angripare köra kod med root-rättigheter på brandväggen. Palo Alto Networks publicerade en säkerhetsuppdatering den 14 oktober 2026.
Vad är CVE-2026-97229?
Det är en kritisk sårbarhet i GitLab med CVSS-poängen 10,0 som låter en oautentiserad angripare köra godtycklig kod via en specialbyggd reguljär uttryck i en CI/CD-konfiguration. GitLab publicerade en fix den 12 oktober 2026.
Utnyttjas CVE-2026-0322 redan av angripare?
Ja. Palo Alto Networks bekräftar att begränsad exploatering har observerats mot hanteringsgränssnittet, vilket fick CISA att ge federala myndigheter en tre dagars patchfrist.
Vem påverkas av GitLab-sårbarheten?
Framför allt organisationer som driver självhostade GitLab-installationer, det vill säga egna servrar snarare än GitLab.com. GitLab rekommenderar omedelbar uppgradering för alla sådana installationer.
Vad har NIS2 att göra med dessa sårbarheter?
Nya NIS2-regler gjorde multifaktorsautentisering och intrångsdetektering till ett lagkrav för tusentals svenska verksamheter från den 1 oktober 2026, samma vecka som de kritiska sårbarheterna offentliggjordes. Det skärper kraven på hur snabbt organisationer måste hantera just sådana brister.
Hur mycket har cyberattackerna mot Sverige ökat?
Enligt siffror från Check Point, rapporterade av eBuilder Security, ökade antalet cyberattacker mot Sverige med 73 procent i september 2026 jämfört med föregående period.
Räcker det att stänga hanteringsgränssnittet mot internet?
Det minskar risken betydligt men ersätter inte patchning. CERT-SE rekommenderar båda åtgärderna: installera säkerhetsuppdateringen och samtidigt begränsa exponeringen av hanteringsgränssnittet så länge det är praktiskt möjligt.
Var kan jag följa fler sårbarhetsvarningar för svenska organisationer?
CERT-SE publicerar regelbundna veckobrev med de senaste sårbarheterna och rekommendationerna, och är den primära källan för svenska organisationer som vill hålla sig uppdaterade utan att behöva bevaka varje enskild leverantör separat.