Sammanfattning
Hackerattacken mot kylar och frysar natten till den 2 november 2026 drabbade även tre brittiska köttföretag. Det uppger branschorganisationen Association of Independent Meat Suppliers (AIMS). Enligt AIMS tog sig angriparna in via kylstyrningen Copeland XWEB. Amerikanska CISA varnade redan den 26 februari 2026 för allvarliga sårbarheter i den nyare modellen XWEB Pro. Copeland hade då redan tagit fram säkerhetsuppdateringar. Brittiska NCSC beskriver påverkan på landet som minimal. Svenska Nationellt cybersäkerhetscenter, som arbetar med incidenterna hos Ica och Coop, har inte pekat ut någon tillverkare. Ingen grupp tagit på sig ansvaret för attackerna.
Kylattacken drabbade brittiska slakterier
De tre medlemsföretagen var oavsiktliga offer. Så beskriver AIMS talesperson Tony Goodger saken. Kylarna stod tomma när angriparna tog sig in. Inget kött gick förlorat. Enligt Goodger har angriparna riktat in sig på europeiska livsmedelskedjor som använder samma programvara som de brittiska företagen. AIMS uppger att organisationen företräder 300 företag och organisationer och att den larmade brittiska NCSC så fort medlemmarna rapporterade problem.
XWEB är en övervakningsenhet som styr temperatur och avfrostning för samtliga kylmöbler i en anläggning. I en säkerhetsnotis till AIMS medlemmar står det att äldre XWEB-programvara släpper in angripare utan lösenord. Det framgår av en publicerad rapport.
Säkerhetsuppdateringen fanns redan i februari
Uppgiften stämmer överens med CISA:s varning från februari. Den gäller tre modeller av XWEB Pro. Enligt CISA har Copeland tagit fram en rättning.
Den allvarligaste sårbarheten gör det möjligt för en angripare att köra kommandon på enheten utan att först logga in. När varningen publicerades uppgav CISA att myndigheten inte hade fått några rapporter om att sårbarheten utnyttjats.
Sårbarheterna hittades av säkerhetsföretaget Claroty, som publicerade sin genomgång den 9 augusti 2026. Forskarna visade att enhetens administratörslösenord byts varje dygn men går att räkna ut med uppgifter som vem som helst kan läsa av enheten. I ett labbförsök stängde de av fläktarna i ett kylskåp medan displayen fortsatte visa normal temperatur. Copeland har släppt en uppdatering som täpper till bristerna enligt Claroty.
Den äldre generationen XWEB EVO omfattas inte av uppdateringen. Copeland skriver i en produktbulletin daterad den 14 oktober 2026 att EVO har nått slutet av sin livslängd och inte längre kommer att få några säkerhetsuppdateringar. Någon ytterligare uppdatering kommer alltså inte. Tillverkaren uppmanar ägarna att omedelbart koppla bort enheterna från internet och undersöka om de utsatts för misstänkt aktivitet.
Svenska NCSC vill se en inventering
Nationellt cybersäkerhetscenter, som är en del av FRA, publicerade ett meddelande klockan 17.39 den 2 november. Centret har kontakt med drabbade verksamheter och utbyter information med sina motsvarigheter i flera nordiska och andra europeiska länder. Samtidigt uppmanar centret organisationer att inventera vilka enheter som är uppkopplade mot internet och överväga om de verkligen behöver vara det.
Coops presschef Carlos Cancino uppger att sju butiker drabbades. Sex ligger i Gävleområdet och en i Sundsvall. Ica talar om ett begränsat antal drabbade butiker vars uppkoppling ligger utanför kedjans centrala nätverk. De första uppgifterna från butikerna finns i vår tidigare artikel.
I Storbritannien arbetade NCSC under natten med att kontakta företag vars sårbara system var åtkomliga via internet. Paul Chichester, operativ chef på NCSC, beskrev påverkan hittills som ”minimal” (i översättning).
Oklart vilken XWEB-generation som angreps
AIMS säkerhetsnotis pekar ut XWEB Pro, där det finns en säkerhetsuppdatering. Copeland tog i oktober upp en sårbarhet i en äldre generation styrenheter. Ingen myndighet har kopplat hackerattacken mot kylar till en viss sårbarhet.
Copeland har inte uppget vilken generation de brittiska företagen hade.
Uppdatering för Pro, utbyte för EVO
Mellan CISA:s varning och hackerattacken mot kylystem gick det 249 dagar. Företag som använde en XWEB Pro som inte uppdaterats kunde alltså ha gjort det sedan februari. För EVO har någon uppdatering aldrig funnits. Där återstår bara att koppla bort och byta ut enheten, vilket kräver en investering snarare än ett vanligt servicearbete. Svenska NCSC:s meddelande gäller uppkopplade enheter i allmänhet och nämner ingen av generationerna.
CISA:s varning har beteckningen ICSA-26-057-10 och gäller modellerna XWEB 300D PRO, 500D PRO och 500B PRO med firmware 1.12.1 eller äldre. Den allvarligaste sårbarheten, CVE-2026-21718, kringgår autentiseringen och får 10,0 i CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Claroty Team82 visade att dygnslösenordet räknas fram ur datumet, MAC-adressen och nycklar som ligger fast i firmware. Copeland rättade alla 23 sårbarheter i firmware 1.13 för XWEB Pro. Den äldre XWEB EVO har nått end of service och får ingen rättning.
Referenser
- Copeland XWEB and XWEB Pro, ICSA-26-057-10
- CVE-2026-21718 Detail
- Chilling Discoveries: Unpacking Vulnerabilities in Copeland XWEB Pro Controllers
- Recommandations pour une utilisation sécurisée des superviseurs XWEB
- Cyberangrepp mot uppkopplade frys- och kylsystem
- Publicerad rapport
This post is also available in:
English
