CVE-2026-44810: Fejl i Windows Cryptographic Services
Fejl i Windows’ kryptografitjeneste kan give en lokal angriber fuld administratoradgang. Opdatér alle Windows-servere og -klienter.
Hvad er det?
CVE-2026-44810 er en fejl i Windows Cryptographic Services, den komponent i Windows der håndterer certifikater og kryptografiske funktioner. Fejlen skyldes mangelfuld autentificering, det vil sige at systemet ikke kontrollerer identiteten korrekt, når en handling udføres (CWE-287). En bruger, der allerede har adgang til maskinen, kan udnytte fejlen til at hæve sine rettigheder til administratorniveau, uden at det kræver brugerinteraktion eller særlige forudgående rettigheder.
Hvem rammer det?
Sårbarheden findes i Windows 11 (23H2 før build 10.0.22631.7219, 24H2 før 10.0.26100.8655, 25H2 før 10.0.26200.8655 og 26H1 før 10.0.28000.2269) samt i Windows Server 2022 (før 10.0.20348.5256) og Windows Server 2025 (før 10.0.26100.32995). Alle danske virksomheder, der kører disse Windows-versioner uden de nyeste opdateringer, er berørt, herunder både arbejdspladser, terminalservere og domænecontrollere.
Hvad kan ske?
En medarbejder eller en angriber, der har fået fodfæste på en maskine, for eksempel via et kompromitteret brugerkonto eller en anden malware, kan bruge fejlen til at få fuld administratorkontrol over systemet. Det giver mulighed for at installere yderligere skadelig kode, læse og ændre alle data på maskinen og deaktivere sikkerhedsfunktioner. På servere kan det åbne vejen til hele netværket, hvis serveren har adgang til andre systemer.
Hvor alvorligt er det?
CVSS-scoren er 8,4 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, men ingen forudgående rettigheder og ingen brugerhandling. Det betyder, at selv en almindelig medarbejderkonto uden særlige rettigheder kan udnytte fejlen, hvis kontoen først er kompromitteret. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb på offentliggørelsesdatoen, men fejlen er velkendt og relativt let at udnytte, da kompleksiteten er lav.
Hvad gør jeg nu?
Vi anbefaler følgende trin i prioriteret rækkefølge:
- Installér Microsofts sikkerhedsopdatering, der bringer alle berørte Windows-versioner op på eller over de angivne build-numre.
- Prioritér servere og maskiner med adgang til flere brugerkonti eller netværksressourcer, herunder domænecontrollere og terminalservere.
- Gennemgå, hvilke konti der har lokal adgang til kritiske systemer, og begræns adgangen til det nødvendige.
- Overvåg logs for uventede rettighedsændringer eller nye administratorkonti på servere og klienter.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke kan opdatere inden for de kommende to uger eller har systemer, der ikke længere kan opdateres.
Opdatér inden for 14 dage
Vi anbefaler, at I installerer opdateringen på alle berørte Windows-systemer inden for de kommende to uger, med servere først. Det er i orden at afvente den normale opdateringscyklus, hvis I allerede har rutiner for hurtig udrulning af Microsofts sikkerhedsopdateringer, men vent ikke længere end nødvendigt på systemer med mange brugere eller netværksadgang.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto giver fuld kontrol
En medarbejder i en dansk produktionsvirksomhed klikker på et phishing-link og får sin konto kompromitteret. Angriberen bruger den lave rettighed til at logge på medarbejderens Windows 11-maskine og udnytter derefter fejlen i Cryptographic Services til at få administratoradgang. Herfra installerer angriberen yderligere skadelig kode og forsøger at bevæge sig videre til virksomhedens filserver.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Windows 11 23H2, 24H2, 25H2 eller 26H1, eller Windows Server 2022 eller 2025, uden de nyeste sikkerhedsopdateringer. Tjek build-nummeret på jeres systemer mod de angivne versioner.
Hvordan tjekker vi vores build-nummer?
Kør kommandoen winver eller slå det op under Indstillinger, System, Om. Sammenlign nummeret med de fikset versioner, der er nævnt for jeres Windows-udgave.
Kan vi vente til weekenden med at opdatere?
For almindelige arbejdsstationer med begrænset adgang kan I vente til den normale opdateringsvindue, men servere og systemer med mange brugerkonti bør opdateres hurtigst muligt, da fejlen er let at udnytte af en angriber med lokal adgang.
Kræver angrebet, at en medarbejder klikker på noget?
Nej, fejlen kræver ingen brugerinteraktion. Den kræver dog, at angriberen allerede har en form for lokal adgang til maskinen, for eksempel via en kompromitteret konto.
Skal vi anmelde dette til en myndighed?
Det er ikke i sig selv anmeldelsespligtigt at have en sårbar version. Bliver systemet udnyttet og fører det til et sikkerhedsbrud med persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Påvirker det også ældre versioner af Windows, som ikke er nævnt?
NVD-data nævner kun de angivne versioner. Kører I ældre eller ikke-understøttede versioner, bør I kontakte Microsoft eller en rådgiver for at afklare status.
Ramte produkter
Microsoft: Windows 11 23h2
< 10.0.22631.7219
Microsoft: Windows 11 24h2
< 10.0.26100.8655
Microsoft: Windows 11 25h2
< 10.0.26200.8655
Microsoft: Windows 11 26h1
< 10.0.28000.2269
Microsoft: Windows Server 2022
< 10.0.20348.5256
Microsoft: Windows Server 2025
< 10.0.26100.32995
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper authentication in Windows Cryptographic Services allows an unauthorized attacker to elevate privileges locally.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.