CVE-2026-45487: Rettighedsfejl i Windows Program Compatibility

CVE-2026-45487 er en sårbarhed i Program Compatibility Assistant Service, den komponent i Windows der hjælper ældre programmer med at køre korrekt på nyere Windows-versioner. Fejlen er en race condition af typen TOCTOU (time-of-check til time-of-use): tjenesten kontrollerer en fil eller ressource, men når den bruger ressourcen kort efter, kan en angriber i det lille tidsvindum have skiftet den ud. CWE-367 dækker netop denne fejltype. En bruger, der allerede er logget på med almindelige rettigheder, kan udnytte tidsvinduet til at få tjenesten, som kører med høje rettigheder, til at udføre handlinger på angriberens vegne. Resultatet er, at en almindelig bruger kan opnå administrator- eller systemrettigheder på maskinen.

Sårbarheden findes i Windows 10 21H2 og 22H2, Windows 11 23H2, 24H2, 25H2 og 26H1, samt Windows Server 2022 og 2025, i versioner ældre end de rettede bygnumre. Det rammer altså praktisk taget alle danske virksomheder og kommuner, der har Windows-arbejdspladser eller Windows Server i drift, herunder terminalservere og servere med flere brugerkonti.

En medarbejder med en almindelig brugerkonto, eller malware der allerede har fået fodfæste med lave rettigheder, kan bruge fejlen til at hæve sig selv til administrator eller systemniveau. Det betyder fuld kontrol over maskinen: installation af yderligere skadelig kode, adgang til andre brugeres data, deaktivering af sikkerhedssoftware og mulighed for at bevæge sig videre til andre systemer på netværket.

CVSS-score er 7,8 af 10, kategoriseret som alvorlig. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede har en konto eller adgang til den, og lave rettigheder på forhånd. Der kræves ingen handling fra en anden bruger, og angrebet er ikke komplekst at udføre. Sårbarheden er ikke rettet mod internettet direkte, men bruges typisk som andet trin i et angreb, efter at en angriber allerede har fået fodfæste via phishing eller en anden sårbarhed. Der er ikke oplysninger om aktiv udnyttelse ved offentliggørelsen.

Sådan lukker I hullet og reducerer risikoen i mellemtiden:

1. Installér Microsofts opdatering, der retter versionerne til de angivne bygnumre eller nyere, på alle Windows 10-, Windows 11- og Windows Server-maskiner.
2. Prioritér servere og maskiner med flere brugerkonti, herunder terminalservere og delte arbejdsstationer, da disse har størst risiko for lokal udnyttelse.
3. Begræns antallet af brugere med lokal adgang til kritiske servere, og fjern unødvendige lokale konti.
4. Overvåg logning for uventede rettighedsændringer eller processer, der kører med systemrettigheder uden forklaring.
5. Sørg for, at antivirus og endpoint-beskyttelse er opdateret, så det indledende fodfæste, angreb typisk kræver, opdages tidligt.
6. Har I mange servere eller kompleks styring af opdateringer, kan vi hos Auroa hjælpe med at planlægge og verificere udrulningen.