Den sårbarhet som Microsofts skydd oftast larmade om är från 2020

Microsoft Digital Defense Report 2026 är Microsofts årliga rapport om hotbilden och täcker i huvudsak juli 2025 till juni 2026. Siffrorna i serien är Microsofts, till största delen hämtade ur deras säkerhetsprodukter och incidentutredningar, medan tolkningen och rekommendationerna är mina. Där rapporten återger uppskattningar eller andras siffror säger jag det.

Först bland rapportens tio prioriteringar står att styra cyberrisken från ledningsnivå. Under den punkten räknar rapporten upp vad ledningen bör få rapporterat, bland annat hur utsatta kontona är, patchtiden (hur snabbt säkerhetsuppdateringar installeras), kritiska beroenden och återställningsförmåga. I fyra delar gör jag fyra punkter ur den uppräkningen till mått som ett svenskt företag med 50 till 250 anställda kan rapportera till ledningen varje kvartal. Del 1 handlar om gamla säkerhetsluckor.

Zerologon toppar larmlistan #

Microsoft har gått igenom larmen från sina säkerhetsprodukter mellan juli 2025 och juni 2026. Fem sårbarheter gav flest larm, och CVE-2020-1472, känd som Zerologon, stod ensam för 58 procent av deras sammanlagda larm. Ett CVE-nummer är det löpnummer som en publicerad sårbarhet ofta får, och årtalet i numret visar i regel när numret tilldelades eller när sårbarheten blev offentlig.

Zerologon sitter i Netlogon, tjänsten som Windows-datorer använder för att verifiera sig mot domänkontrollanten, den server som styr inloggningen i nätverket. Enligt Microsoft kan en angripare som inte är inloggad få administratörsbehörighet i domänen genom sårbarheten. De fyra andra sårbarheterna på listan är från 2020, 2021, 2022 och 2023. Säkerhetsuppdateringen för Zerologon har funnits sedan augusti 2020.

Rapporten gör själv ett förbehåll: ett larm är inte detsamma som ett bekräftat utnyttjande, och många signaler kan hamna i mer allmänna larm och räknas då inte i listan. Listan visar alltså larm om möjliga försök.

Att så gamla sårbarheter angrips kan enligt Microsoft bero på att system som inte är uppdaterade är lättare att ta sig in i, eller på att färdig angreppskod ofta byggs in i vanliga angreppsverktyg och botnät, alltså nätverk av kapade datorer. Försöken kostar angriparen lite, medan en domänkontrollant som fortfarande är sårbar kan kosta er kontrollen över hela domänen.

Varför handlar nyhetsrubrikerna om AI när rapporten pekar på gamla luckor? #

Nyhetsrubrikerna har rätt i sak. Mediantiden från att en sårbarhet upptäcks till att det finns ett fungerande angreppsverktyg som utnyttjar den har enligt rapporten sjunkit till långt under ett dygn, och Microsoft uppskattar att antalet nya CVE-nummer når ett rekord på omkring 72 000 under 2026.

Men rapporten drar en slutsats som rubrikerna missar: AI hittar sårbarheter snabbare än organisationer hinner åtgärda dem, och därför räknar Microsoft med flera år då antalet kända men inte åtgärdade sårbarheter ökar kraftigt innan det minskar. AI och gamla luckor hänger alltså ihop. De AI-styrda intrång som Microsoft hittills har sett är få, och i dem har angriparna genomgående tagit sig in genom tjänster som nås från internet och som kör programvara med kända sårbarheter.

Hur tar sig angriparna in? #

Flera av sårbarheterna på listan finns i tjänster som nås över nätverket. Min bedömning är ändå att Zerologon sällan är vägen in: domänkontrollanten nås normalt inte från internet, så sårbarheten används när angriparen redan är inne, för att ta över hela domänen.

I Microsofts incidentutredningar var utnyttjande av en internetexponerad tjänst den vanligaste vägen in under rapportåret, 24 procent mot 15 procent året innan. Samtidigt steg nätfiskets andel från 7 till 23 procent.

Microsofts tjänst för säkerhetsövervakning ger en annan bild. Bland de intrång som Microsoft aviserade kunderna om stod utnyttjande av internetexponerade tjänster för 4,8 procent, men enligt rapporten får den vägen in oproportionerligt stora följder. Antalet sådana angrepp har minskat kraftigt sedan mitten av 2025. Microsoft tolkar det som en blandning av att säkerhetsuppdateringarna fungerar och att angriparna går över till metoder som bygger på inloggningar. De angreppen tar jag upp i del 2.

Min slutsats för ett företag med 100 anställda är att patchtiden behöver mätas för båda grupperna av system. De internetexponerade systemen är en av vägarna in, och identitetssystemen, de system som styr vem som får logga in, är vägen till allt annat.

Rapporten har också ett exempel som gäller mindre företag. I september 2025 såg Microsoft en fyra veckor lång våg av utpressningsangrepp mot fler än 50 organisationer, de flesta små och medelstora företag. Vågen var kopplad till en sårbarhet i en VPN-lösning för fjärråtkomst med ett CVE-nummer från 2024.

Två mått för ledningen varje kvartal #

Enligt rapporten bör måtten som rapporteras flyttas från antalet installerade uppdateringar till hur mycket mindre utsatta systemen har blivit för angrepp, hur stor del av IT-miljön som bevakas så att angrepp upptäcks och hur snabbt riskerna begränsas. Microsofts eget red team, en grupp som angriper system på samma sätt som en verklig angripare för att hitta svagheterna, säger något liknande: det som spelar roll är om en säkerhetsuppdatering är installerad överallt och hur lång tid det tog.

Min rekommendation är att ledningen får två mått varje kvartal:

1. Patchtiden. Antalet dagar från att en säkerhetsuppdatering för en allvarlig sårbarhet finns till att den är installerad i alla berörda internetexponerade system och identitetssystem. Redovisa både medianen och det långsammaste fallet för uppdateringar som är installerade överallt, och redovisa för sig de uppdateringar som ännu inte är det, med de dagar som hittills har gått.
2. Den äldsta öppna allvarliga sårbarheten. Hur gammal sårbarheten är, räknat från att den blev offentlig, i vilket system den sitter, vad som skyddar systemet under tiden och vem som har beslutat att den får stå kvar.

Bestäm också vad allvarlig betyder, och skriv definitionen i rapporten till ledningen. Rapporten rekommenderar att sårbarheter som nyligen har börjat utnyttjas behandlas som brådskande och att risken prioriteras efter sammanhanget, inte efter en fast allvarlighetsgrad. För övriga sårbarheter tycker jag att programvaruleverantörens klassning räcker som utgångspunkt.

Andelen uppdaterade datorer räcker inte som mått, eftersom den inte visar om domänkontrollanten är en av datorerna som saknar uppdateringen.

En installerad uppdatering visar inte heller om någon hann in innan den installerades. Granska därför, som Microsoft rekommenderar, aktiviteten de senaste 90 dagarna för att hitta tecken på att sårbarheter utnyttjades innan de åtgärdades.

För sårbarheter som nyss har identifierats i internetexponerade system och i identitetssystem rekommenderar Microsoft att de åtgärdas inom 72 timmar. Samtidigt skriver rapporten, utan att ange någon källa, att det kan ta 30 till 60 dagar, mätt som median, innan företag har åtgärdat kritiska sårbarheter i internetexponerade system. Varifrån någon av de två tiderna räknas står inte uttryckligen, så de går inte att lägga direkt bredvid er patchtid. Det är era egna siffror, mätta på samma sätt varje kvartal, som visar var ni står.

Går ett system inte att uppdatera ska det synas i samma rapport till ledningen. Enligt Microsoft bör sådana system isoleras från resten av nätverket eller avvecklas.

Vad säger den svenska föreskriften om säkerhetsuppdateringar? #

Föreskriften MCFFS 2026:11 har krav på säkerhetsuppdateringar i 4 kap. 31 §:

För att skydda system i it-segment mot sårbarheter ska verksamhetsutövaren skyndsamt genomföra säkerhetsuppdateringar. Mjukvara som leverantören inte längre tillhandahåller säkerhets-uppdateringar för ska bytas ut eller uppgraderas utan onödigt dröjsmål.

Föreskriften skiljer mellan två slags nätverkssegment. Ot-segment är inrättade för cyberfysiska system, och it-segment för de system som inte placeras i ot-segment (1 kap. 4 §). Paragrafens andra stycke gäller ot-segment: där ska verksamhetsutövaren identifiera och hantera behovet av säkerhetsuppdateringar, uppdateringar och uppgraderingar (4 kap. 31 § andra stycket).

Till paragrafen hör ett allmänt råd:

Verksamhetsutövaren bör påbörja arbetet med att införa en säkerhetsuppdatering inom 72 timmar efter det att programvara som ger skydd mot sårbarheten har tillgängliggjorts.

Föreskriften säger själv att allmänna råd har en annan juridisk status än föreskrifter och att de inte är tvingande. De allmänna rådens funktion är enligt föreskriften att förtydliga innebörden i lag, förordning och föreskrifter och att ge generella rekommendationer om deras tillämpning.

Kravet i paragrafens första mening är att säkerhetsuppdateringar för system i it-segment genomförs skyndsamt. Rådet säger när arbetet bör påbörjas, räknat från att programvara som ger skydd mot sårbarheten har tillgängliggjorts. Microsofts 72 timmar gäller nyss identifierade sårbarheter i internetexponerade system och i identitetssystem, och inom den tiden bör sårbarheten enligt Microsoft vara åtgärdad. Mät därför både när arbetet började och när det var klart.

Mjukvara som leverantören inte längre tillhandahåller säkerhetsuppdateringar för ska enligt 4 kap. 31 § första stycket andra meningen bytas ut eller uppgraderas utan onödigt dröjsmål. När en uppdatering eller uppgradering inte kan genomföras har föreskriften ett allmänt råd till 4 kap. 30 §: verksamhetsutövaren bör fastställa vilka åtgärder som ska vidtas när en uppdatering eller uppgradering inte kan genomföras eller när pågående ändring behöver avbrytas.

Kraven i 4 kap. 31 § gäller de verksamhetsutövare som föreskriftens krav på säkerhetsåtgärder gäller för. Verksamhetsutövare som uteslutande bedriver sektorsverksamhet inom digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster (mellan företag), post- och budtjänster samt rymden omfattas endast av kravet på ledningens utbildning i 2 kap. 1 §. Cybersäkerhetslagen (SFS 2025:1506), inte föreskriften, avgör om ni är en verksamhetsutövare. Föreskriften gäller sedan 1 oktober 2026.

Omfattas ni inte av lagen är måttet lika användbart som eget mål.

Vilka tre frågor ska ledningen ställa till IT? #

Ställ frågorna på nästa ledningsmöte och be om svaret i dagar och namn. Sköts driften av en leverantör ställer ni frågorna till leverantören.

1. Vilka av våra system nås från internet, och vilka är våra identitetssystem?
2. Hur många dagar tog det senast från att en säkerhetsuppdatering för en allvarlig sårbarhet kom till att den var installerad i alla de berörda systemen?
3. Vilken är vår äldsta öppna allvarliga sårbarhet, och vem har beslutat att den får stå kvar?

Kan IT inte svara på den första frågan går de två andra inte att besvara, och då är en förteckning över systemen det första steget. Även Microsoft rekommenderar en aktuell förteckning, där tredjepartssystem, fjärrstyrningsverktyg och äldre enheter ingår.

Hur ska ni läsa siffror från Microsoft? #

Rapporten är Microsofts, och företaget säljer de skydd som rapporten rekommenderar. Jag använder siffrorna och bortser från produktråden. Siffrorna kommer till största delen från Microsofts egna kunder och system, så de säger mest om miljöer som liknar kundernas. Min bedömning är att rapporten är en ganska träffande spegel för ett svenskt företag med Windows-domän och tjänster i Microsofts moln.

Vad handlar del 2 till 4 om? #

Del 2 handlar om inloggningen och hur stor del av kontona som har en inloggningsmetod som står emot nätfiske. I del 3 går jag igenom beroendena: brandväggar, VPN, fjärrstyrningsverktyg och leverantörer med åtkomst. Del 4 gäller hur länge verksamheten klarar sig utan sina system.

Så kan Obrium hjälpa #

Jag hjälper ledningsgrupper att ta fram måtten och få dem rapporterade varje kvartal, med rätt detaljnivå för ett ledningsmöte. Boka ett samtal via kontakt@obrium.se om ni vill börja med patchtiden och den äldsta öppna sårbarheten.

Var står det i rapporten, föreskriften och lagen? #

Microsofts siffror och påståenden i artikeln kommer ur Microsoft Digital Defense Report 2026, version 1.1. Här är de viktigaste i artikelns ordning, med sidan i rapporten där de står:

• Rapporten täcker i huvudsak juli 2025 till juni 2026: sidan 2
• Den första av Microsofts tio prioriteringar är att styra cyberrisken från ledningsnivå, och Microsoft räknar upp vad ledningen bör få rapporterat: sidan 7
• Zerologon stod för 58 procent av larmen bland de fem sårbarheter som oftast gav larm, och de fyra andra är från 2020 till 2023. Microsoft påpekar att ett larm inte är ett bekräftat utnyttjande: sidan 34
• Mediantiden från att en sårbarhet upptäcks till att det finns ett fungerande angreppsverktyg som utnyttjar den är långt under ett dygn, och Microsoft uppskattar antalet nya CVE-nummer till omkring 72 000 under 2026: sidan 14
• Microsoft räknar med flera år då antalet kända men inte åtgärdade sårbarheter ökar kraftigt innan det minskar, eftersom AI hittar sårbarheter snabbare än organisationer hinner åtgärda dem: sidan 10
• De AI-styrda intrång som Microsoft hittills har sett är få, och angriparna har genomgående kommit in genom tjänster som nås från internet och kör programvara med kända sårbarheter: sidan 14
• I Microsofts incidentutredningar stod utnyttjande av internetexponerade tjänster för 24 procent av vägarna in (15 procent året innan) och nätfiske för 23 procent (7 procent året innan): sidan 33
• I Microsofts tjänst för säkerhetsövervakning stod utnyttjande av tjänster som nås från internet för 4,8 procent av de intrång som Microsoft aviserade kunderna om, och antalet sådana angrepp har minskat kraftigt sedan mitten av 2025: sidorna 44 och 45
• I september 2025 såg Microsoft en våg av utpressningsangrepp mot fler än 50 organisationer, de flesta små och medelstora företag, kopplad till en sårbarhet i en VPN-lösning för fjärråtkomst med ett CVE-nummer från 2024: sidan 48
• Microsoft skriver att måtten som rapporteras bör flyttas från antalet installerade uppdateringar till hur mycket mindre utsatta systemen har blivit för angrepp, hur stor del av IT-miljön som bevakas och hur snabbt riskerna begränsas: sidorna 8 och 87
• Enligt Microsofts eget red team spelar det roll om uppdateringen är installerad överallt och hur lång tid det tog: sidan 19
• Microsoft rekommenderar att sårbarheter som nyligen har börjat utnyttjas behandlas som brådskande: sidan 48
• Microsoft rekommenderar att risken prioriteras efter sammanhanget och inte efter en fast allvarlighetsgrad: sidan 87
• Microsoft rekommenderar att aktiviteten de senaste 90 dagarna granskas för att hitta tecken på att sårbarheter utnyttjades innan de åtgärdades: sidan 48
• Microsoft rekommenderar att nyss identifierade sårbarheter i internetexponerade system och i identitetssystem åtgärdas inom 72 timmar: sidan 48
• Det kan ta 30 till 60 dagar, mätt som median, innan företag har åtgärdat kritiska sårbarheter i internetexponerade system. Rapporten anger ingen källa för siffran: sidan 48
• Microsoft rekommenderar att system som inte går att uppdatera isoleras från resten av nätverket eller avvecklas: sidorna 19 och 48
• Microsoft rekommenderar en aktuell förteckning över systemen, där tredjepartssystem, fjärrstyrningsverktyg och äldre enheter ingår: sidan 48

Om CVE-2020-1472 och säkerhetsuppdateringen från augusti 2020: den amerikanska sårbarhetsdatabasen NVD.

I föreskriften, MCFFS 2026:11:

• Säkerhetsuppdateringar: 4 kap. 31 §, med allmänt råd
• Ändringshantering, med allmänt råd om uppdateringar som inte kan genomföras: 4 kap. 30 §
• Ordförklaringar, it-segment och ot-segment: 1 kap. 4 §
• Ledningens utbildning om säkerhetsåtgärder: 2 kap. 1 §

I Cybersäkerhetslagen (SFS 2025:1506):

• Lagens tillämpningsområde: 1 kap. 3 till 8 §§