To kilder, talt samme morgen

Klokken syv om aftenen den 27. juli udgav CISA version 2026.07.27 af sit katalog over kendte udnyttede sårbarheder. To poster kom til: et hul i Fortinet FortiOS og en kommandoindsprøjtning i Aristas VeloCloud Orchestrator. Dermed stod kataloget på 1.655 poster, og det er alt, hvad myndigheden har kunnet bekræfte som angrebet, siden listen åbnede i 2021.

Næste morgen spurgte vi den anden kilde. National Vulnerability Database, som drives af NIST, oplyser for enhver ønsket periode, hvor mange sårbarheder der bærer en offentliggørelsesdato inden for den. For den 1. januar til den 28. juli 2026 lyder svaret 45.601. For den samme periode i 2025 er det 28.032. For 2024 var det 23.486.

Begge tal er offentlige, begge er gratis, og næsten ingen lægger dem ved siden af hinanden. Side om side siger de noget, som dækningen i denne uge har overset fuldstændigt.

Der er ingen fordobling

Start med den påstand, der er rejst længst. Siden mandag har tallet på omkring 45.000 huller floreret sammen med forudsigelsen om, at året vil fordoble det foregående. Første halvdel passer. Anden halvdel gør ikke.

209 dage af 2026 har givet 45.601 offentliggjorte sårbarheder. Ført videre i samme tempo til den 31. december lander man nær 79.600. Hele 2025 nåede 49.972. Det er en faktor på omkring 1,6, ikke på 2.

Forskellen er ikke flueknepperi, for det mindre tal er stadig usædvanligt. En stigning på 60 procent på ét år er den stejleste, statistikken indeholder, og 2026 har allerede passeret 91 procent af alt, hvad 2025 frembragte, mens der er fem måneder tilbage. Det er værd at fastholde det præcise tal, fordi det oppustede indbyder til den forkerte reaktion. En fordobling lyder som en nødsituation, der retfærdiggør at fordoble et team. 1,6 gange lyder som det, det er: et strukturelt skift i udbuddet, som ingen ansættelser vil kunne opsuge.

Udnyttelseskurven fulgte ikke med

Her står tallet, der burde styre beslutningen. Af de 45.601 sårbarheder, der er offentliggjort i år, er 171 føjet til kataloget over bekræftet udnyttelse. Kun hundrede poster i hele kataloget bærer overhovedet en betegnelse fra 2026.

Lav det samme regnestykke på udnyttelsessiden. 171 tilføjelser på 209 dage svarer til et tempo på cirka 299 for året. CISA tilføjede 245 i hele 2025. Så mens offentliggørelsen steg 63 procent, voksede den bekræftede udnyttelse med omkring en femtedel.

De to kurver er løbet fra hinanden, og afstanden bliver større for hver måned. Uanset hvad der driver bølgen af offentliggørelser, og leverandørerne indrømmer ret åbent, at automatiseret opdagelse fylder meget i den, så producerer den fund hurtigere, end nogen når at omsætte dem til angreb. Det offentliggjorte tal er ikke længere et mål for det arbejde, der ligger foran jer. Det måler nu, hvor meget forskning branchen kan bære, og det er et andet spørgsmål med et andet svar.

Ét ærligt forbehold, fordi det skærper anvisningen i stedet for at svække den. Fravær fra kataloget beviser ikke, at ingen udnytter noget. Listen registrerer det, en myndighed kan bekræfte, og bekræftelsen kommer bagefter. Det taler for at behandle beviset for udnyttelse som det stærkeste tilgængelige signal, ikke for at læse dets fravær som en frikendelse.

Hvad reglerne rent faktisk beder om

Næsten enhver sårbarhedspolitik skrevet i Europa de seneste tre år indeholder en sætning af denne form: alt fra 7,0 og opefter lukkes inden for tredive dage. Den, der skrev sætningen i 2023, sagde ja til en arbejdsmængde, som siden er vokset med to tredjedele uden at spørge.

Det er værd at undersøge, hvor sætningen kom fra, for den kom ikke fra tilsynet. NIS2 placerer håndtering og offentliggørelse af sårbarheder blandt de risikostyringsforanstaltninger, en omfattet enhed skal have, og binder hele forpligtelsen til at stå i rimeligt forhold til den faktiske risiko. Teksten nævner intet scoresystem og sætter ingen tærskel. DORA gør det samme for finansielle enheder: prioritér udbedring efter, hvor kritisk det ramte er, uden at noget fast tal står nogen steder.

Tærsklen var altså en hjemmelavet opfindelse, indført fordi den kunne revideres. Den kan stadig revideres. Den er bare ikke længere til at betale, og ingen af de to regelsæt har nogensinde bedt om den.

Skriv normen om, ikke bemandingen

Den praktiske ændring er lille og kan nås i dette kvartal. Sæt bekræftet udnyttelse forrest i køen med et ur målt i dage. Alt andet beholder en rækkefølge efter alvorlighed, men mister den automatiske frist og håndteres i den almindelige vedligeholdelsesrytme på de systemer, der reelt betyder noget hos jer.

To understøttende greb gør det holdbart over for en revisor. Skriv ned, hvilken ekstern kilde I behandler som autoritativ og hvorfor, så prioriteringen bliver en dokumenteret metode og ikke et skøn. Og notér eksponeringsbeslutningen for de systemer, I udskyder, for det, en myndighed spørger om efter en hændelse, er, om der forelå en begrundet proces, ikke om I ramte et tal.

De hold, der får det svært de næste atten måneder, er dem, hvis politik er regnemæssigt umulig, og hvis revisorer endnu ikke har opdaget det. Tallet vil blive ved med at stige. Mængden af det, der reelt bliver brugt mod jer, stiger langtfra i samme tempo, og den offentliggøres hver uge gratis.

Læs videre: Din sandbox blev ramt en måned før advarslen  |  En enkelt besked nåede SSH-nøglerne