AI hjälper säkerhetsexperter att hitta gamla brister i internets mest grundläggande programvara. Men samma teknik kan ge angripare möjlighet att agera betydligt snabbare än tidigare. Resultatet kan bli fler akuta säkerhetslarm, avstängda webbplatser och störningar i digitala tjänster – även när ingen lyckad cyberattack har bekräftats.

AI förändrar hastigheten i cybersäkerhetsarbetet

Ett säkerhetshål kan finnas oupptäckt i ett datorprogram under många år. Så länge ingen känner till det kan programmet fortsätta fungera som vanligt. När bristen väl upptäcks börjar däremot en kapplöpning.

Utvecklarna måste förstå problemet och ta fram en rättning. Företag och myndigheter behöver undersöka om deras system är sårbara, installera uppdateringar och kontrollera att allt fortfarande fungerar. Samtidigt kan angripare försöka hitta ett sätt att utnyttja bristen.

Det är den kapplöpningen som artificiell intelligens håller på att förändra.

AI kan gå igenom enorma mängder programkod, hitta avvikande beteenden och testa möjliga säkerhetsbrister betydligt snabbare än vad som tidigare varit praktiskt möjligt.

Säkerhetsföretaget VulnCheck uppger att antalet upptäckta digitala sårbarheter har fördubblats på ett år, delvis tack vare AI. Uppgiften återges av Reuters och bygger på forskning som ännu inte har publicerats i sin helhet.

Samtidigt beskriver cybersäkerhetsexperter hur AI i vissa fall kan förkorta arbetet med att utveckla fungerande angreppsverktyg från veckor eller månader till timmar.

Det betyder inte att varje säkerhetshål kan utnyttjas lika snabbt. Men när även en del av de allvarliga bristerna kan angripas med kort varsel förändras förutsättningarna för alla som ansvarar för digitala system.

PHP2Shell visar hur snabbt en säkerhetskris kan uppstå

Den 21 oktober 2026 offentliggjordes två kritiska sårbarheter i PHP, ett programmeringsspråk som används av en stor del av världens webbplatser.

Sårbarheterna fick det gemensamma namnet PHP2Shell.

Felen finns i PHP:s hantering av datorns minne. Under vissa förhållanden skulle en angripare kunna utnyttja dem för att få en server att köra skadlig kod, utan att först behöva logga in.

Båda sårbarheterna fick allvarlighetsgraden 9,2 av 10 enligt det tekniska bedömningssystemet CVSS 4.0.

Det som gjorde upptäckten särskilt känslig var att problemen fanns i själva PHP, inte bara i ett enskilt tillägg eller en specifik webbplats.

PHP används bland annat i webbplatser byggda med WordPress, Drupal och Joomla. Det innebär inte att varje sådan webbplats automatiskt går att angripa, men det gör att väldigt många organisationer snabbt måste undersöka om deras installationer påverkas.

Sårbarheterna upptäcktes genom säkerhetsarbete där AI ingick. Bland organisationerna bakom upptäckten fanns Calif.io, Wiz, OpenAI och Quarkslab.

När informationen blev offentlig började företag, myndigheter och säkerhetsleverantörer agera. Servrar behövde kontrolleras och uppdateras. Vissa webbplatser stängdes tillfälligt medan säkerhetsarbetet pågick.

Även svenska Nationellt cybersäkerhetscenter gick ut med en uppmaning om skyndsamma åtgärder mot PHP-sårbarheterna.

För webbplatsägare finns en separat guide om PHP2Shell och hur berörda installationer kan skyddas.

Ett säkerhetslarm kan slå ut tjänster utan någon lyckad attack

Det mest intressanta med PHP2Shell är kanske inte vad angripare faktiskt lyckades göra, utan vad företag och myndigheter tvingades göra för att minska risken.

Den nederländska cybersäkerhetsmyndigheten NCSC-NL stängde exempelvis tillfälligt sin egen webbplats som en försiktighetsåtgärd.

Det illustrerar ett problem som kan bli vanligare när fler allvarliga säkerhetshål upptäcks på kort tid.

En myndighet som driver en viktig e-tjänst kan ställas inför två dåliga alternativ: fortsätta använda ett system där en kritisk sårbarhet ännu inte har åtgärdats eller stänga tjänsten tills säkerheten har kontrollerats.

Samma sak kan gälla banker, transportföretag, vårdgivare och andra verksamheter som är beroende av digitala tjänster.

Att tillfälligt stänga ett system kan vara ett klokt säkerhetsbeslut. Men för människor som behöver använda tjänsten blir resultatet ändå ett avbrott.

Det innebär att fler upptäckta säkerhetshål i sig kan skapa fler störningar, även om angriparna inte lyckas ta sig in.

PHP2Shell visar också att sådana beslut kan behöva fattas innan hela riskbilden är klar. Organisationer måste väga konsekvenserna av ett möjligt intrång mot problemen med att stänga en tjänst som människor behöver.

Fler upptäckta buggar betyder inte fler lyckade intrång

Här är det viktigt att skilja mellan tre saker: en upptäckt sårbarhet, ett försök att utnyttja den och ett faktiskt intrång.

Ett säkerhetsföretag kan exempelvis upptäcka ett allvarligt programmeringsfel som ingen angripare tidigare har känt till. Det kan leda till att felet rättas innan någon hinner använda det.

På samma sätt kan ett stort antal registrerade angreppsförsök bestå av automatiska skanningar där datorprogram undersöker vilka servrar som kan vara sårbara.

Sådana aktiviteter är inte samma sak som att angriparna har fått tillgång till systemen.

Efter offentliggörandet av PHP2Shell rapporterades omfattande misstänkt aktivitet. Säkerhetsleverantörer observerade försök att identifiera och utnyttja berörda installationer.

Men den 23 oktober kom också en viktig nyansering från den nederländska cybersäkerhetsmyndigheten.

Myndigheten bedömde då att sårbarheterna var svårare att utnyttja än man först hade befarat. Risken för storskaliga angrepp bedömdes därför som lägre än i den ursprungliga varningen.

Det fanns en rapport om ett möjligt angrepp utomlands, men inget bekräftat lyckat intrång i det material myndigheten redovisade.

Rekommendationen att uppdatera berörda system låg ändå fast.

Även utvecklaren Daniel Stenberg har i Reuters rapportering framhållit att vissa AI-upptäckta säkerhetshål är så komplicerade att de kan vara mycket svåra att utnyttja i praktiken.

En ökning av antalet hittade sårbarheter säger därför inte automatiskt att internet blivit farligare i motsvarande grad. Den kan också visa att säkerhetsgranskningen blivit bättre.

Företag och myndigheter får mindre tid att reagera

För organisationer som driver stora IT-miljöer är den kortare reaktionstiden ett konkret problem.

Många verksamheter använder hundratals eller tusentals programvarukomponenter. En del sköts internt, andra av externa leverantörer. Vissa system uppdateras regelbundet, medan äldre programvara kan vara svår att förändra utan att störa verksamheten.

När en kritisk sårbarhet offentliggörs måste organisationen först veta vilka system som berörs.

Därefter ska en uppdatering installeras, testas och ibland samordnas med andra leverantörer.

Om angripare med hjälp av AI kan utveckla fungerande angrepp på några timmar blir traditionella uppdateringsrutiner, där mindre brådskande ändringar samlas till planerade underhållstillfällen, otillräckliga för de allvarligaste hoten.

Det ställer högre krav på att företag och myndigheter:

• Vet vilken programvara och vilka versioner de använder.
• Kan prioritera kritiska säkerhetsuppdateringar snabbt.
• Har möjlighet att isolera utsatta system utan att hela verksamheten stannar.
• Kan kontrollera om ett intrång redan har skett och återställa drabbade tjänster.

Det handlar alltså inte bara om att installera fler uppdateringar. Organisationerna behöver också kunna hantera situationer där en snabb uppdatering är nödvändig men samtidigt innebär en risk för driftstörningar.

Kan AI göra internet säkrare på längre sikt?

Det finns en annan sida av utvecklingen.

Om AI kan hitta sårbarheter som tidigare hade legat oupptäckta i många år får utvecklarna också möjlighet att reparera dem.

Det är i grunden något positivt. Varje allvarlig brist som upptäcks och rättas innan den utnyttjas innebär en minskad risk.

Cloudflares vd Matthew Prince har enligt Reuters varnat för att internet kan gå igenom flera år av återkommande säkerhetskriser när AI börjar avslöja gamla brister i central infrastruktur.

Men han ser också möjligheten att internet på längre sikt blir säkrare.

Den bedömningen bygger på att organisationer faktiskt hinner åtgärda problemen och att nya säkerhetsrutiner utvecklas i takt med tekniken.

Det är långtifrån självklart att den utvecklingen sker lika snabbt överallt. Stora teknikföretag med egna säkerhetsteam kan ha betydligt bättre möjligheter än små företag och offentliga verksamheter med begränsade IT-resurser.

Det är därför AI:s påverkan på cybersäkerheten inte kan sammanfattas som att tekniken gör internet antingen säkrare eller farligare.

AI gör det möjligt att hitta fler brister snabbare. Men den kan också göra tiden för att åtgärda dem kortare.

För användarna kan det innebära en period med fler säkerhetsvarningar, fler akuta uppdateringar och tillfälligt otillgängliga tjänster.

På längre sikt finns möjligheten att en stor del av de gamla säkerhetshålen försvinner.

Frågan är hur många störningar som uppstår innan företag, myndigheter och programutvecklare har hunnit anpassa sig till den nya hastigheten.