CVE-2026-45176: Rettighedsfejl i Idira Endpoint Manager

CVE-2026-45176 er en sårbarhed i Idira Endpoint Privilege Manager Agent, et program fra Palo Alto Networks (tidligere CyberArk) der styrer, hvilke rettigheder brugere og programmer har på en computer. Fejlen ligger i, hvordan agenten kontrollerer adgang til sine egne interne komponenter, kaldet forkert rettighedsstyring. En bruger, der allerede er logget på maskinen med almindelige rettigheder, kan manipulere en intern kommunikationsmekanisme eller filoperation i agenten og på den måde omgå de rettighedsbegrænsninger, agenten ellers skal sætte. Resultatet er, at brugeren kan udføre handlinger med forhøjede rettigheder, altså opnå kontrol på niveau med administrator eller systemkonto, selv om agenten netop er sat op til at forhindre det.

Sårbarheden findes i Idira Endpoint Privilege Manager Agent i versioner før 26.5.0. Agenten findes til macOS, Linux og Windows, så alle tre platforme er ramt, hvis agenten er installeret. Det rammer virksomheder og kommuner, der bruger løsningen til at fjerne lokale administratorrettigheder fra medarbejdere og i stedet lade agenten tildele rettigheder til bestemte programmer efter behov. Har I løsningen installeret på medarbejdernes computere eller på servere, skal I tjekke agentversionen.

En medarbejder, en gæstebruger eller skadelig kode, der allerede kører med begrænsede rettigheder på en computer, kan udnytte fejlen til at få fulde systemrettigheder. Det giver mulighed for at slå sikkerhedsfunktioner fra, installere skadelig kode med fuld adgang, læse og ændre alle filer på maskinen, eller sprede sig videre i netværket. I praksis kan et angreb, der ellers var stoppet af Idira EPM, komme forbi den beskyttelse, fordi selve agenten misbruges til at give de rettigheder, den skulle forhindre.

CVSS-score er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang, altså at angriberen allerede er logget på maskinen, og ikke kan udføres over internettet. Der kræves lave rettigheder på forhånd, men ingen brugerinteraktion, offeret skal ikke klikke på noget eller åbne en fil. Konsekvensen ved udnyttelse er høj på alle tre parametre: fortrolighed, integritet og driftsstabilitet kan alle kompromitteres fuldt ud. Der er ikke oplysninger om, at fejlen aktivt udnyttes i angreb, og der er ikke offentliggjort færdig angrebskode.

Sådan lukker I hullet og begrænser risikoen i mellemtiden:

1. Opdatér Idira Endpoint Privilege Manager Agent til version 26.5.0 eller nyere på alle macOS-, Linux- og Windows-maskiner, hvor agenten kører. Dette lukker selve fejlen.
2. Lav en oversigt over alle maskiner med agenten installeret, så I ved, hvor mange enheder der skal opdateres, og kan følge fremdriften.
3. Prioritér servere og fælles maskiner med flere brugerkonti først, da risikoen for lokal udnyttelse er størst der.
4. Gennemgå logfiler fra agenten for usædvanlig aktivitet i perioden op til offentliggørelsen, hvis det er praktisk muligt.
5. Overvej at begrænse antallet af konti med lokal adgang til maskiner, der endnu ikke er opdateret.
6. Kontakt Palo Alto Networks eller en sikkerhedsrådgiver som Auroa, hvis I har mange enheder, eller hvis I mangler ressourcer til at planlægge og udrulle opdateringen på tværs af organisationen.