CVE-2026-0068: Fejl i Android kan fjerne MDM-styring
En sårbarhed i Android 17.0 (CVE-2026-0068) kan lade en installeret app fjerne virksomhedens MDM-styring uden tilladelse. Opdatér enheder snarest.
Hvad er det?
Sårbarheden CVE-2026-0068 findes i PackageInstallerService, den systemtjeneste i Android, der styrer installation og afinstallation af apps. Fejlen er en kapløbstilstand (en race condition, hvor to processer arbejder på samme data uden ordentlig synkronisering), som gør, at systemets viden om beskyttede apps kan komme ud af trit med den gemte tilstand. Konsekvensen er, at en DPC-app, en app der administrerer og låser en virksomhedstelefon (Device Policy Controller, i praksis en MDM-løsning), kan blive fjernet uden den godkendelse, der normalt kræves fra enhedens administrator (DO, Device Owner).
Hvem rammer det?
Sårbarheden rammer enheder med Google Android 17.0. Det gælder først og fremmest virksomheder og kommuner, der bruger administrerede Android-telefoner og -tablets med en MDM-løsning til at styre adgangskoder, apps og sikkerhedspolitikker på medarbejdernes enheder.
Hvad kan ske?
Hvis en medarbejder installerer en skadelig app, kan appen udnytte fejlen til at fjerne virksomhedens administrationsapp fra telefonen uden at bede om godkendelse. Enheden er herefter ikke længere underlagt virksomhedens sikkerhedspolitikker. Skærmlås, kryptering og appbegrænsninger kan blive slået fra, og der åbnes for adgang til virksomhedsdata eller installation af yderligere skadelig kode med fulde rettigheder på enheden.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, kategoriseret som alvorlig. Angrebet kræver ikke login eller netværksadgang, men det kræver, at brugeren selv installerer en skadelig app. Når det er sket, kræves ingen yderligere rettigheder for at udnytte fejlen, og konsekvensen er høj for fortrolighed, integritet og tilgængelighed, fordi enhedens sikkerhedsstyring kan omgås helt. Der er ingen oplysninger om, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser risikoen, mens I venter på opdatering.
- Installer den nyeste Android-sikkerhedsopdatering på alle administrerede enheder via jeres MDM-løsning.
- Sørg for, at MDM-politikken kun tillader installation af apps fra godkendte kilder som Google Play med Play Protect eller virksomhedens egen app-butik.
- Informer medarbejdere om ikke at installere apps fra usikre kilder eller sideloadede filer.
- Gennemgå jeres enhedsflåde for tegn på, at MDM-appen er fjernet eller deaktiveret uden godkendelse.
- Kontakt Auroa eller en anden sikkerhedspartner, hvis I mangler ressourcer til at rulle opdateringen ud på tværs af flåden inden for en måned.
Opdatér inden for 30 dage
Vi anbefaler, at I sikrer, at alle administrerede Android-enheder opdateres til den nyeste sikkerhedsopdatering, så snart den er tilgængelig via jeres MDM-løsning. Da udnyttelse kræver, at en bruger selv installerer en skadelig app, og der ikke er kendte tilfælde af udnyttelse, kan opdateringen indgå i jeres normale patch-cyklus, men bør ikke vente længere end en måned. Kombinér opdateringen med en politik om, at kun apps fra godkendte kilder må installeres på virksomhedsenheder.
Tidslinje
Konkrete eksempler
Medarbejder installerer app fra tredjepartsbutik
En medarbejder i en dansk SMV installerer en gratis app fra en tredjepartsbutik på sin firmatelefon for at spare tid. Appen udnytter kapløbstilstanden til at fjerne virksomhedens MDM-app uden godkendelse. Telefonens skærmlås og appbegrænsninger deaktiveres, og virksomhedsdata på telefonen bliver tilgængelige uden den beskyttelse, som it-afdelingen ellers havde sat op.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I har administrerede Android-enheder, der kører version 17.0, og hvor I bruger en MDM-løsning til at styre enhederne. Tjek Android-versionen på jeres enheder via MDM-konsollen for at afklare det.
Hvordan tjekker vi, om vores enheder er sårbare?
Gå ind i MDM-konsollen og se OS-version og sikkerhedsopdateringsniveau for hver enhed. Enheder på Android 17.0 uden den nyeste sikkerhedsopdatering bør prioriteres.
Kan vi vente til den næste ordinære opdatering?
Ja, det er forsvarligt, da sårbarheden ikke er kendt udnyttet, og angrebet kræver, at en bruger selv installerer en skadelig app. Vi anbefaler dog ikke at vente længere end en måned.
Skal vi anmelde dette til Datatilsynet?
Ikke i sig selv. Anmeldelsespligt opstår først, hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet og har medført et brud på persondata.
Hvad er en DPC-app, og hvorfor er det vigtigt?
En DPC-app (Device Policy Controller) er den app, jeres MDM-løsning bruger til at gennemtvinge sikkerhedspolitikker som skærmlås og kryptering på en virksomhedstelefon. Fjernes den uden godkendelse, mister I kontrollen med enheden.
Kræver det, at en medarbejder gør noget forkert?
Ja. Angrebet forudsætter, at der installeres en skadelig app på enheden, typisk fra en kilde uden for Google Play eller virksomhedens app-butik.
Ramte produkter
Google: Android
17.0
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In createSessionInternal of PackageInstallerService.java, there is a possible method to remove a DPC app from a managed device without DO consent due to desync from persistence. This could lead to local escalation of privilege if a user can install a malicious app with no additional execution privileges needed. User interaction is needed for exploitation.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.