CVE-2026-0081: Rettighedsfejl i Android NFC
Fejl i Android NFC (CVE-2026-0081) mangler tilladelseskontrol og kan give en ondsindet app højere rettigheder. Installer Androids sikkerhedsopdatering.
Hvad er det?
CVE-2026-0081 er en sårbarhed i NFC-funktionen i Android, som styrer trådløs kommunikation på kort afstand, blandt andet til betalinger og adgangskort. Fejlen skyldes en manglende tilladelseskontrol, kategoriseret som CWE-862. Det betyder, at en app kan efterligne eller forfalske en NFC-hændelse, uden at systemet tjekker, om appen har lov til det. En app, der allerede er installeret på enheden med almindelige brugerrettigheder, kan udnytte fejlen til at opnå udvidede rettigheder på enheden, uden at brugeren skal foretage sig noget.
Hvem rammer det?
Sårbarheden findes i Google Android version 17.0. Det rammer virksomheder og kommuner, der bruger Android-enheder til arbejdsopgaver, herunder telefoner og tablets med NFC-understøttelse til betaling, adgangskontrol eller medarbejder-id. Særligt udsatte er enheder, hvor medarbejdere selv kan installere apps uden om virksomhedens app-butik, eller hvor mobile enheder ikke er underlagt central styring (MDM).
Hvad kan ske?
En ondsindet eller kompromitteret app kan udnytte fejlen til at skaffe sig rettigheder, den ikke burde have, og dermed få adgang til data og funktioner uden for sit eget sikkerhedsområde. I praksis kan det betyde adgang til andre apps’ data, aflytning af NFC-baserede betalinger eller adgangskort, og en fod indenfor til at installere yderligere skadelig software på enheden. Angrebet kræver, at en app allerede er installeret på enheden, men kræver ikke, at medarbejderen foretager sig noget aktivt bagefter.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket klassificeres som alvorlig. Angrebet foregår lokalt på enheden, kræver lav kompleksitet og kun lave rettigheder i forvejen, altså at en app allerede er installeret. Der kræves ingen handling fra brugeren, og konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på enheden. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Installer Androids sikkerhedsopdatering fra juni 2026 på alle enheder med version 17.0, enten via producentens softwareopdatering eller jeres MDM-løsning (mobile device management, styring af mobile enheder).
- Gennemgå, hvilke apps medarbejdere har lov til at installere, og begræns installation fra ukendte kilder uden for Google Play.
- Tjek jeres MDM-politikker for, om Android-enheder automatisk modtager sikkerhedsopdateringer, eller om det kræver manuel godkendelse.
- Gennemgå NFC-baserede løsninger, som betaling eller adgangskort, og vurder om de kræver ekstra overvågning, indtil opdateringen er rullet ud.
- Informer medarbejdere om ikke at installere apps fra ukendte kilder, mens opdateringen udrulles.
- Har I ikke en MDM-løsning eller er I i tvivl om, hvor mange enheder der er ramt, bør I få en ekstern gennemgang af jeres mobile enheder.
Installer Android-opdatering inden for 30 dage
Vi anbefaler, at I ruller Androids sikkerhedsopdatering fra juni 2026 ud til alle enheder med version 17.0 via jeres MDM-løsning så hurtigt som muligt. Det er i orden at vente til jeres normale opdateringsvindue, hvis I har god kontrol over, hvilke apps der kan installeres på enhederne, men vi vil ikke anbefale at udskyde det længere end 30 dage. Har I enheder uden central styring, bør I prioritere dem højest, da de er sværest at følge op på.
Tidslinje
Konkrete eksempler
Sideloadet app misbruger NFC på firmatelefon
En medarbejder i en dansk virksomhed installerer en app uden for Google Play for at få adgang til en gratis funktion. Appen udnytter fejlen i NFC-funktionen til at hæve sine egne rettigheder på telefonen, uden at medarbejderen bemærker noget. Herefter får appen adgang til data fra andre apps på enheden, herunder virksomhedens adgangskort-app til kontoret.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I bruger Android-enheder med version 17.0, herunder telefoner eller tablets brugt til arbejde, NFC-betaling eller adgangskontrol. Tjek enhedens Android-version under indstillinger eller via jeres MDM-løsning.
Hvordan tjekker vi, om vores enheder er sårbare?
Gå ind under Indstillinger, Om telefonen, og se Android-version samt sikkerhedsopdateringens dato. Er sikkerhedsopdateringen fra juni 2026 eller senere ikke installeret, er enheden sårbar.
Kan vi vente til efter weekenden med at opdatere?
Der er ingen kendte aktive angreb, så I kan planlægge opdateringen inden for jeres normale rutine, men vi anbefaler ikke at udskyde det mere end 30 dage, især for enheder uden central styring.
Kræver det, at en medarbejder gør noget forkert?
Nej. Sårbarheden kræver ikke brugerinteraktion, når først en ondsindet app er installeret på enheden. Risikoen ligger derfor i, hvilke apps der kan installeres, ikke i medarbejderens adfærd i selve angrebsøjeblikket.
Skal vi anmelde noget til myndighederne?
Der er ikke krav om anmeldelse, medmindre I har konkret mistanke om, at sårbarheden er blevet udnyttet, og at persondata er kompromitteret. I så fald gælder de almindelige regler for anmeldelse af databrud til Datatilsynet.
Påvirker det også andre styresystemer end Android?
Nej, sårbarheden er specifik for NFC-funktionen i Google Android version 17.0 og påvirker ikke iOS eller andre platforme.
Ramte produkter
Google: Android
17.0
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
In NFC, there is a possible way to spoof an NFC event due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.