Ur bevakningen
Fjärråtkomsten är oftast första dörren in
7 september 2026
Nästan varje verksamhet har en väg in utifrån. En VPN, en portal för distansåtkomst, ett administrationsgränssnitt som råkar vara nåbart från internet. Det är sällan något fel i sig. Problemet är att just de här ingångarna är byggda för att släppa in folk, och att en angripare letar efter exakt samma sak som en behörig användare.
Den här veckan kom en påminnelse om det.
Vad som hände
En kritisk brist i SonicWalls SMA 1000, en produkt för säker fjärråtkomst, bekräftades vara under aktiv exploatering och togs upp i den amerikanska myndigheten CISA:s katalog över kända utnyttjade sårbarheter. Bristen kräver ingen inloggning för att utnyttjas.
Varningen kom i somras. CERT-SE skrev om SMA1000 redan i juli, och det som ändrades den här veckan var inte bristen utan att den bevisligen används. Den som la undan julinotisen för senare fick den tillbaka nu.
Poängen är inte SonicWall
Byt ut namnet och beskrivningen håller ändå. Fortinet, Ivanti, Cisco, Palo Alto: fjärråtkomst och brandväggar har alla stått i tur de senaste åren, och de kommer att göra det igen. Det är väntat: en tjänst som är byggd för att nås utifrån är en tjänst som exponerar en stor, komplicerad kodbas mot hela internet. Det är därför den är värd mest, både att skydda och att angripa.
Så den nyttiga frågan är inte ”har vi SonicWall”. Den är: vad av vår fjärråtkomst är nåbart från internet just nu, och vet vi ens om allt?
Vad vi ser i kartläggningen
Det här är den sortens tjänst en extern exponeringskoll hittar första dagen, utan att röra insidan. Ett fjärråtkomstgränssnitt som svarar mot internet och kör en berörd version är ett fynd på någon timme.
Vi säger då det vi kan belägga, och inte mer: att tjänsten är nåbar och kör en berörd version. Inte att den är bekräftat sårbar. Det påstår vi aldrig utifrån, eftersom det skulle kräva att vi gick in, och det gör vi inte utan skriftligt uppdrag. Ser vi trafiken kan vi också säga om enheten pratar utåt eller bara står och lyssnar. Det räcker långt för att avgöra vad som brådskar.
Vad ni gör åt det
Inget av det här är dramatiskt. Det är hantverk:
- Vet vilken fjärråtkomst ni har mot internet. Inklusive den som en gång sattes upp för en leverantör och aldrig togs bort.
- Prioritera det nåbara och kända. En berörd version som går att nå från internet ska åtgärdas först, inte hamna längst ner i en lista.
- Kräv mer än ett lösenord. Fjärråtkomst utan stark autentisering är en dörr med ett lås som alla har nyckeln till.
- Följ läget över tid. Det som såg lugnt ut i juli gjorde det inte längre i september. Angreppsytan ändras varje vecka.
Själva åtgärden, att uppdatera eller byta ut enheten, är ofta ett par klick hos den som driftar utrustningen, ibland er egen leverantör. Vår roll är att hitta dörren och belägga att den står olåst, inte att utge oss för att vara de som byter låset.
Så tänker vi
En kritisk brist i en enskild produkt är en påminnelse, inte en nyhet. Fjärråtkomsten är oftast första dörren in, och den som vet vad som är exponerat utifrån har halva jobbet gjort.
Vill ni se vad er fjärråtkomst exponerar idag? Hör av er.
Källor: CISA, Adds Seven Known Exploited Vulnerabilities to Catalog (2 sep 2026); CERT-SE, Kritiska sårbarheter i SonicWall SMA1000.