I takt med att säkerhetsbrister i äldre VPN-lösningar och AI-drivna angrepp utsätter företagsnätverk för risker, framträder zero-trust-arkitekturen som den oundvikliga ersättaren – den gör systemen osynliga och förhindrar omfattande nätverksåtkomst.
I mer än två decennier har VPN varit de facto-standarden och det självklara sättet att ansluta fjärranvändare till företagsnätverket. Det fungerade när medarbetarna satt på kontoret och applikationerna kördes i datacentret. Den världen är borta, men VPN har hängt kvar, och nu är det dags att betala säkerhetsräkningen.
Det finns gott om påminnelser. Ransomwaregrupper, däribland Qilin och Settra, utnyttjar CVE-2026-0257, en autentiseringsbypass i Palo Altos PAN-OS Global Protect och Prisma Access, för att skapa obehöriga VPN-sessioner och sedan röra sig lateralt genom offrens nätverk med hjälp av verktyg som Cobalt Strike, Blood Hound och Sharp Hound, enligt Cybersecurity News. Utnyttjandet inleddes redan fyra dagar efter att sårbarheten offentliggjordes i maj, och CISA lade till sårbarheten i sin katalog över kända utnyttjade sårbarheter några veckor senare, enligt IBM X-Force.
Detta är ett mönster, inte en bugg
Detta är inte ett problem specifikt för Palo Alto; det är en större branschtrend. Titta på de senaste 18 månaderna hos de stora leverantörerna av fjärråtkomstlösningar:
- Ivanti Connect Secure ( CVE-2026-104935). Den 13 oktober avslöjade Ivanti en aktivt utnyttjad autentiseringsbypass som möjliggör utförande av oautentiserade fjärrkommandon. CISA uppgav att angripare använde den för stöld av inloggningsuppgifter och dataexfiltrering. Volexity upptäckte att angriparen kombinerade den med en separat sårbarhet för utökning av behörigheter för att få root-åtkomst på en helt uppdaterad enhet. CISA har nu flaggat 36 sårbarheter hos Ivanti som har utnyttjats sedan 2021.
- Watchguard Firebox (CVE-2025-9242 och CVE-2025-14733). Två kritiska sårbarheter, båda med betyget 9,3, drabbade samma IKEv2-VPN-tjänst inom loppet av några månader. CISA flaggade den första som utnyttjad, och Watchguard varnade för att tidigare VPN-konfigurationer fortfarande kunde göra brandväggar sårbara även efter borttagning. CISA har sedan dess bekräftat att ransomware-kampanjer utnyttjar den.
- Citrix Netscaler Gateway (CVE-2025-5777, ”Citrixbleed 2”). Offentliga exploateringar visade att det var möjligt att kapa användarsessioner och kringgå MFA-autentisering, enligt CSO.
- Sonicwall SSL VPN ( CVE-2024-40766). Akira-ransomware-affiliater fortsatte att bryta sig in i ett år efter att säkerhetsuppdateringen släppts eftersom migrerade lokala lösenord aldrig återställdes, enligt SC Media.
Olika leverantörer, olika kodbaser, samma resultat. VPN-koncentratorn finns på det offentliga internet; den är utformad för att kunna hittas. När en angripare väl har tagit sig förbi den befinner de sig i nätverket och har obegränsad åtkomst till varje användare och varje bit av data i företagets nätverk. Fallen med Watchguard och Sonicwall visar också att säkerhetsuppdateringar inte stänger dörren; stulna inloggningsuppgifter och ihållande angrepp överlever åtgärden.
Mythos-ögonblicket
Hur illa detta än är, tror jag att det är på väg att bli mycket värre. I april lanserade Anthropic Project Glasswing och avslöjade att deras modell Claude Mythos Preview hade identifierat tusentals zero-day-sårbarheter, inklusive brister i alla större operativsystem och webbläsare, samt en 27 år gammal bugg i Open BSD, ett operativsystem som ofta används för att köra brandväggar. Anthropic uppgav att modellen hittade nästan alla dessa och själv skapade många exploateringsmetoder utan mänsklig inblandning.
Siffrorna har sedan dess varit skyhöga. Glasswings partner hittade mer än 10 000 sårbarheter av hög eller kritisk allvarlighetsgrad på en enda månad, enligt Anthropics första uppdatering. Anthropic säger nu att flaskhalsen har förskjutits från att hitta buggar till att verifiera, offentliggöra och åtgärda dem. Microsoft varnade i maj för att antalet patch-utgåvor kommer att fortsätta öka.
Glasswing har en defensiv inriktning, och listan över dess grundande partners är imponerande. VPN-gateways kör dock stora, föråldrade kodbaser, finns ute på internet och skyddar företagets mest värdefulla åtkomst. Det är precis den typ av mål som AI-driven upptäckt kommer att ta sig an. Försvararna kommer att upptäcka fler brister, vilket innebär fler nödkorrigeringar. Angriparna kommer så småningom att ha jämförbara verktyg; en Discord-grupp har enligt The Daily Star redan fått obehörig åtkomst till Mythos via en extern underleverantör. Det fyra dagars mellanrum mellan offentliggörande och utnyttjande som branschen har sett under de senaste månaderna kommer att krympa till timmar. Inget team kan patcha sig ur den ekvationen. AI kommer säkert att hjälpa till, men säkerhetsteamen ligger alltid efter i katt-och-råtta-leken kring CVE-patchning.
Varför zero trust är vägen framåt
Problemet ligger inte i någon leverantörs kodningspraxis; det är arkitekturen. Ett VPN sätter upp en dörr mot internet, verifierar vem som går igenom den och litar sedan på dem när de väl är inne. Varje CVE ovan utnyttjar den modellen.
För att få en uppfattning om den arkitektoniska frågan kontaktade jag Zscaler, en tidig pionjär inom zero trust. Adam Geller, företagets produktchef, säger:
– De återkommande sårbarheterna i äldre VPN-lösningar är inte isolerade programfel. De är en arkitektonisk begränsning. Äldre VPN-lösningar exponerar perimetergateways mot det öppna internet och ger, om de bryts igenom, omfattande nätverksåtkomst.
– En äkta zero-trust-arkitektur vänder upp och ner på den modellen. Den gör interna system osynliga för det offentliga internet, inspekterar all trafik i realtid, förhindrar lateral rörelse och ansluter användare endast till de applikationer de har behörighet att använda, aldrig till det underliggande nätverket. Det är ännu viktigare i den agentbaserade AI-eran, där vi ser AI-agenter få obegränsad åtkomst och orsaka kaos i miljöer som rätt arkitektur kunde ha skyddat från början.
Den agentbaserade aspekten förtjänar att betonas. Ge en agent som agerar med maskinhastighet, eller en angripare som har kapat en sådan, omfattande nätverksräckvidd, och skadeomfånget blir enormt. Zero Trust begränsar det till en enda applikation.
Rekommendationer för nätverks- och säkerhetsansvariga
Gör en inventering av alla åtkomstpunkter som är anslutna till internet. De flesta organisationer har fler VPN-koncentratorer och portaler för fjärråtkomst än de inser, ofta rester från förvärv eller projekt från pandemitiden. Man kan inte ta ur bruk det man inte ser.
Utgå från att äldre gateways har komprometterats. Att installera säkerhetsuppdateringar är nödvändigt, men fallen med Ivanti, Watchguard och Sonicwall visar att det inte räcker. Efter varje kritisk säkerhetsvarning ska ni avsluta aktiva sessioner, byta inloggningsuppgifter och leta efter kvarvarande hot istället för att lita på en ren integritetskontroll.
Prioritera efter risk, inte efter bekvämlighet. Flytta först tredjepartsleverantörer, administratörer med utökade behörigheter och åtkomst till de allra viktigaste applikationerna till en nollförtroendemodell. Dessa användare och tillgångar utgör den största risken, och åtkomst på applikationsnivå ger snabbast avkastning.
Behandla AI-agenter som identiteter av högsta klass. Varje agent bör ha sin egen identitet, åtkomst med minsta möjliga behörighet till specifika applikationer och fullständig inline-inspektion av sin trafik. Låt inte agenter ärva en mänsklig användares åtkomst på nätverksnivå.
Planera för en högre uppdateringstakt. AI-driven upptäckt av sårbarheter kommer att öka volymen av säkerhetsmeddelanden i hela systemstacken. Budgetera driftstiden därefter och använd den pressen som affärsargument för att minska antalet internetanslutna enheter som ni måste underhålla.
Fastställ ett datum för avveckling. Zero-trust-migreringar avstannar när VPN fortfarande finns tillgängliga som reservalternativ. Fastställ en tidsplan, kommunicera den och håll fast vid den.
Avslutande tankar
Är det alltså dags att fasa ut VPN? Ja, men som med allt inom teknik kommer VPN inte att försvinna över en natt, och nischade användningsfall kommer att kvarstå. Ändå återkommer samma typ av fel hos alla större leverantörer, och AI kommer att påskynda hur snabbt dessa fel upptäcks och utnyttjas. Ledare som behandlar VPN-intrång som engångshändelser som kräver tillfälliga åtgärder kämpar mot det förra kriget. De organisationer som kommer att ligga i framkant kommer att sluta öppna dörrar till internet helt och hållet och istället ansluta användare, enheter och AI-agenter endast till det de behöver. Det är inte efter nästa nöddirektiv som det är dags att påbörja den övergången. Det är nu.