CVE-2026-50656 RoguePlanet – Windows Defender sårbarhed

CVE-2026-50656, også kaldet ‘RoguePlanet’, er en sårbarhed i Microsoft Malware Protection Engine – den motor, der driver Windows Defender, Microsofts indbyggede antivirusprogram. Fejlen er kategoriseret som CWE-59, hvilket betyder, at programmet kan narres til at følge en genvej (et såkaldt ‘symlink’) til et sted i systemet, det normalt ikke har adgang til. Resultatet er, at en angriber kan hæve sine egne rettigheder på computeren og opnå fuld kontrol. Sårbarheden kræver, at angriberen allerede har begrænset adgang til systemet – for eksempel som en normal bruger – men kræver hverken avancerede tekniske kundskaber eller interaktion fra dig som bruger.

Sårbarheden rammer alle, der bruger Microsoft Malware Protection Engine – det vil i praksis sige enhver Windows-computer med Windows Defender aktiveret. Det gælder:

• Windows 10 og Windows 11-brugere, hjemme og på arbejdet
• Virksomheder der bruger Microsoft Defender som primær antivirusløsning
• Organisationer med Microsoft 365 Business eller lignende abonnementer, hvor Defender er integreret

Hvis din virksomhed bruger en tredjeparts antivirusløsning i stedet for Defender, er I sandsynligvis ikke direkte berørt af denne specifikke fejl.

En angriber, der allerede har fået fodfæste på én computer i dit netværk – for eksempel via phishing eller en kompromitteret medarbejderkonto – kan udnytte denne sårbarhed til at:

• Overtage fuld kontrol over den ramte computer, inklusive adgang til alle filer og indstillinger
• Installere skadelig software (malware, ransomware) uden at blive opdaget
• Deaktivere sikkerhedsprogrammer, herunder selve Windows Defender
• Sprede sig videre i netværket til andre computere og systemer
• Stjæle fortrolige data, fx kundeoplysninger, adgangskoder og forretningshemmeligheder

Da angrebet ikke kræver din interaktion, kan det ske helt uden at du opdager det.

Microsoft har vurderet denne sårbarhed til en CVSS-score på 7.8 ud af 10, hvilket klassificeres som Alvorlig (High). Konsekvenserne for fortrolighed, integritet og tilgængelighed er alle vurderet til ‘høj’. Det betyder, at et vellykket angreb kan give fuld kontrol over systemet. Det mildnende element er, at angriberen skal have en form for eksisterende adgang til computeren – det er altså ikke et angreb, der kan udføres direkte fra internettet uden forudgående kompromittering. Ikke desto mindre er truslen alvorlig, da mange angreb netop starter med at etablere begrænset adgang og derefter eskalere rettigheder præcis som denne sårbarhed muliggør. Der er endnu ingen tilgængelig patch.

Microsoft arbejder på en sikkerhedsopdatering, men den er endnu ikke frigivet. I mellemtiden bør du gøre følgende:

1. Overvåg Microsofts sikkerhedsbulletiner tæt. Hold øje med opdateringer til CVE-2026-50656 på Microsofts officielle sikkerhedsside (msrc.microsoft.com). Aktiver eventuelt e-mailnotifikationer.
2. Begræns brugerrettigheder. Sørg for, at medarbejdere kun har de rettigheder, de har brug for til dagligt arbejde. Administratorrettigheder bør kun gives til dem, der har et reelt behov.
3. Styrk adgangssikkerheden. Aktivér multifaktorgodkendelse (MFA – det ekstra bekræftelsestrin ved login) på alle konti, så det er sværere for en angriber at få initial adgang.
4. Opdatér alle øvrige systemer og programmer. Selvom Defender-patchen ikke er klar, skal al anden software holdes opdateret for at minimere angrebsfladen.
5. Vær ekstra opmærksom på phishing. Da angriberen først skal have adgang til systemet, er phishing-mails en hyppig indgang. Gør dine medarbejdere opmærksomme på dette.
6. Installer patchen øjeblikkeligt, når den frigives. Defender opdateres normalt automatisk, men verificér at automatisk opdatering er slået til på alle enheder.