5 Lästid 
Exploatering av sårbarheter har övertagit som främsta orsak till dataintrång för första gången i Verizons Data Breach Investigations Reports 19-åriga historia. Enligt 2026 års rapport, som publicerades på tisdagen, inleds nu 31 procent av alla intrången med att angripare utnyttjar opatchade sårbarheter i mjukvara. Det slår stöld av inloggningsuppgifter som sjönk till 13 % av de initiala angreppsvektorerna.
Förändringen speglar en grundläggande förskjutning i hotlandskapet. Angripare rör sig snabbare än organisationer inner patcha sina system. AI-verktyg har dessutom kraftigt förkortat tiden mellan att en sårbarhet offentliggörs och att den börjar utnyttjas- från månader till timmar. Samtidigt halker organisationer efter allt: Under 2025 åtgärdades endas 26 procent av de kritiska sårbarheterna i CISAs katalog Known Exploited Vulnerabilities (KEV), jämfört med 38 procent året innan.
Siffrorna är värre än de först verkar
Verizon analyserade över 22 000 bekräftade intrång från incidenter som inträffade mellan november 2024 och oktober 2025. Mediantiden för att patcha kritiska sårbarheter ökade till 43 dagar, upp från 32 dagar året innan. Ökningen på 11 dagar spelar roll eftersom angripare beväpnar sårbarheter snabbare än någonsin.
Volymen sårbarheter som organisationer måste hantera har nått krisnivåer. Verizon registrerade 527,3 miljoner sårbarhetsinstanser under 2025, jämfört med 68,7 miljoner 2022 en åttafaldig ökning på bara tre år. Antalet kritiska sårbarheter som krävde åtgärder var 50 procent högre än föregående år.
”Bilden det målar upp är den av ett löpband som ökar farten”, skrev rapportförfattarna. Beskrivningen är ingen överdrift, nästan hälften av sårbarheterna i CISAs KEV-katalog visade ihållande exploatering under hela 2025, med angreppsförsök detekterbara 96 procent av de övervakade dagarna.
AI gör angripare snabbare, inte smartare
Verizon samarbetade med Anthropic för att analysera hur 793 threat actors använde AI-verktyg mellan mars 2025 och februari 2026. Resultaten komplicerar berättelsen om AI som en revolutionerande hotmultiplikator. I medianfallet sökte angripare AI-assistans över 15 olika MITRE ATT&CK-tekniker, med 99 procent bedömda som medium eller låg risk baserat på teknisk sofistikering.
AI automatiserar främst kända tekniker snarare än att möjliggöra nya angrepp. Phishing stod för 44 procent av AI-assisterade initiala åtkomstförsök, följt av sårbarhetsexploatering på 32 procent och missbruk av inloggningsuppgifter på 21 procent. Tekniken höjer grundnivån för mindre erfarna angripare snarare än att skapa nya angreppsvektorer.
Den verkliga oron är hastigheten. AI-verktyg kan identifiera och beväpna sårbarheter inom timmar efter avslöjande, vilket krymper det defensiva fönstret till nästan ingenting. Organisationer som tidigare hade veckor eller månader på sig att distribuera patchar har nu högst dagar.
Mobil phishing 40 procent mer framgångsrik än e-post
Medan sårbarhetsexploatering dominerar initial åtkomst förblir mänskliga faktorer betydande. DBIR fann att 62 procent av intrången involverade ett mänskligt element, med social engineering som stod för 16 % av intrången. Mobilcentrerade phishing-angrepp visade 40 procent högre framgångsfrekvens än traditionell e-post-phishing.
Chris Novak, vice president för globala cybersäkerhetslösningar på Verizon Business, sa till Associated Press: ”People tend to be more trusting of these devices. And as a result, they’re more likely to click on links and follow through with the phishing logic.” E-postsäkerhetsgatewayer kan inte se SMS eller röstsamtal, vilket skapar döda vinklar som angripare exploaterar.
Shadow AI-användning har blivit en dataläckagevektor. AI-verktyg representerar nu den tredje vanligaste orsaken till icke-skadlig insiderförlust av data och står för 12 procent av incidenterna, en fyrfaldig ökning från föregående år. Två tredjedelar av anställda kommer åt AI-tjänster från företagsenheter med personliga konton, vilket skapar exponering som de flesta säkerhetsstackar inte kan övervaka.
Patcha baserat på aktiv exploatering, inte CVSS-poäng
DBIRs vägledning om patchprioriteringar är rakt på sak: fokusera på aktiv exploatering snarare än teoretiska påverkanspoäng. Sårbarheter som nyligen exploaterats i det vilda bär högsta sannolikheten för fortsatt exploatering. Den sannolikheten sjunker betydligt efter 30 dagar, igen vid 90 dagar och planar ut efter nio månader.
Även välresurserade organisationer kan bara patcha 30 procent till 40 procent av kritiska sårbarheter under första veckan, enligt rapporten. Rådet är att prioritera baserat på hur nyligen exploatering skett snarare än enbart CVSS-poäng, eftersom ”ju längre tid som gått sedan en sårbarhet exploaterades, desto mindre sannolikt är det att den exploateras igen snart”.
Tredjepartsinblandning i intrång hoppade 60 procent år-över-år och står nu för 48 procent av alla intrång. Bara 23 procent av tredjepartsplattformar i molnet åtgärdade helt saknad eller felkonfigurerad multifaktorautentisering, vilket belyser hur leverantörssäkerhetsluckor blir kundproblem.
Referenser
- Verizon 2026 Data Breach Investigations Report
- Verizon DBIR 2026 Analysis
- Vulnerability Glut Analysis
- DBIR Key Findings
- Patching Coverage Falls
This post is also available in:
English
Related News
Zero-click-sårbarhet i Microsoft 365 Copilot läckte känsliga data via e-post
Microsoft 365 Copilot innehöll en kritisk zero-click-sårbarhet som gjorde att angripare kunde stjäla känsliga företagsdata genom att bara skicka ett skadligt e-postmeddelande. Sårbarheten, som upptäcktes…
maj 13, 2026 
