CVE-2026-45175: Fejl i CyberArk Endpoint Privilege Manager
Fejl i CyberArk Idira Endpoint Privilege Manager lader en lokal bruger omgå agentens beskyttelse. Opdatér til version 26.5.0.
Hvad er det?
CVE-2026-45175 er en sårbarhed i sikkerhedsagenten Idira Endpoint Privilege Manager fra CyberArk, der styrer, hvilke rettigheder programmer og brugere har på en computer. Fejlen ligger i den interne kontrol af agentens egne sikkerhedsmekanismer, herunder validering af digitale certifikater, der bekræfter ægtheden af data eller kommandoer. CWE-295 beskriver netop mangelfuld certifikatvalidering som roden til problemet. En angriber, der allerede har lokal adgang til maskinen med lave rettigheder, kan udnytte fejlen til at omgå agentens selvforsvarsmekanismer, der normalt forhindrer, at agenten selv bliver manipuleret eller slukket, og derved udføre handlinger, agenten skulle have blokeret.
Hvem rammer det?
Sårbarheden findes i CyberArk Idira Endpoint Privilege Manager Agent i alle versioner før 26.5.0. Agenten installeres på medarbejdernes computere for at styre lokale administratorrettigheder og findes til Windows, macOS og Linux. Virksomheder og kommuner, der bruger Idira EPM som del af deres endpoint-sikkerhed, skal tjekke agent-versionen på samtlige tilsluttede enheder, uanset operativsystem.
Hvad kan ske?
En medarbejder med lav adgang, eller en angriber der allerede har fået fodfæste på en computer, kan udnytte fejlen til at slippe fri af de begrænsninger, EPM-agenten normalt sætter. I praksis kan det betyde, at en bruger med lave rettigheder opnår fuld kontrol over maskinen, deaktiverer sikkerhedsagenten eller får adgang til fortrolige data, som ellers var beskyttet. For en dansk virksomhed kan det åbne vejen til at installere skadelig kode uden at blive stoppet, eller til at et angreb spreder sig videre i netværket, fordi den sidste beskyttelseslinje er sat ud af kraft.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang, altså at angriberen allerede er logget ind på maskinen, om end kun med lave rettigheder. Der kræves ingen handling fra en bruger, og angrebet er teknisk enkelt at udføre. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed kan alle blive kompromitteret fuldt ud. Der er pr. offentliggørelsesdatoen ingen kendte tilfælde af aktivt misbrug.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Idira Endpoint Privilege Manager Agent til version 26.5.0 eller nyere på alle enheder med Windows, macOS og Linux.
- Prioritér opdatering af enheder, hvor brugere har lokal administratoradgang eller anden forhøjet rettighed, da disse udgør den største risiko.
- Gennemgå logs fra EPM-agenten for tegn på forsøg på at omgå eller deaktivere agentens selvforsvarsmekanismer.
- Begræns, hvor mange brugere der har lokal login-adgang til kritiske systemer, indtil opdateringen er rullet ud på alle enheder.
- Kontakt CyberArk eller jeres it-leverandør, hvis I ikke kan opdatere alle agenter inden for kort tid, eller hvis I finder tegn på misbrug.
Opdatér inden for 2 uger
Vi anbefaler, at I opdaterer Idira Endpoint Privilege Manager Agent til version 26.5.0 på alle enheder, så snart det kan planlægges i et almindeligt patch-vindue. Da udnyttelse kræver lokal adgang, og der ikke er kendte tilfælde af misbrug, behøver det ikke ske uden for normal arbejdstid, men det bør ikke skubbes længere end den næste planlagte opdateringsrunde. Har jeres virksomhed mange brugere med lokal administratoradgang eller delte maskiner, bør opdateringen prioriteres højere.
Tidslinje
Konkrete eksempler
Fodfæste udvides til fuld kontrol
En medarbejder i en dansk virksomhed åbner en vedhæftet fil, der installerer skadelig kode med lave rettigheder på computeren. Normalt ville EPM-agenten blokere yderligere skadelige handlinger, men koden udnytter CVE-2026-45175 til at omgå agentens selvforsvar og opnår fuld administratorkontrol over maskinen. Herfra kan angriberen sprede sig videre i virksomhedens netværk.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-45175?
I er ramt, hvis I bruger CyberArk Idira Endpoint Privilege Manager Agent i en version før 26.5.0 på jeres Windows-, macOS- eller Linux-maskiner. Tjek agent-versionen via jeres centrale EPM-konsol eller direkte på enhederne.
Kræver angrebet, at en bruger klikker på noget?
Nej. Der kræves ingen brugerhandling. Angriberen skal blot have lokal adgang til maskinen med lave rettigheder for at kunne udnytte fejlen.
Kan vi vente til den næste planlagte opdateringsrunde?
Ja, det kan I typisk, da der pr. offentliggørelsesdatoen ikke er kendte tilfælde af misbrug, og angrebet kræver lokal adgang. I bør dog ikke skubbe opdateringen ud over næste normale patch-vindue.
Er sårbarheden udnyttet i praksis?
Der er pr. offentliggørelsesdatoen ingen offentligt kendte tilfælde af aktivt misbrug eller offentliggjort angrebskode.
Hvilke systemer er berørt?
CyberArk Idira Endpoint Privilege Manager Agent i versioner før 26.5.0, uanset om agenten er installeret på Windows, macOS eller Linux.
Skal vi anmelde dette til myndighederne?
Det er kun nødvendigt, hvis sårbarheden faktisk bliver udnyttet og fører til et sikkerhedsbrud med persondata, jf. reglerne om anmeldelse til Datatilsynet. Selve opdateringen kræver ingen anmeldelse.
Ramte produkter
Paloaltonetworks: Idira Endpoint Privilege Manager
< 26.5.0
Apple: Macos
–
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Idira Endpoint Privilege Manager Agent versions prior to 26.5 exhibit improper access control within internal agent validation processes. A local attacker could potentially bypass built-in security controls or cryptographic validations. Under specific circumstances, this could allow the attacker to circumvent agent self-defense mechanisms and execute unauthorized operations. CyberArk Security Bulletin: CA26-19
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.