CVE-2026-45607: Alvorlig fejl i Windows Hyper-V

CVE-2026-45607 er en sårbarhed i Hyper-V, Microsofts virtualiseringsplatform, der kører virtuelle maskiner på Windows Server og Windows 11. Fejlen er en såkaldt out-of-bounds read: programmet læser data uden for det hukommelsesområde, det har lov til, hvilket kan udnyttes til at få adgang til følsomme data eller til at få systemet til at afvikle kode, det ikke skulle. Sårbarheden kræver ikke login til værtsmaskinen udefra, men kræver at angriberen allerede har lokal adgang, for eksempel som bruger i en virtuel maskine på den ramte vært.

Sårbarheden rammer Windows Server 2016, 2019, 2022 og 2025 samt Windows 10 (1607, 1809, 21H2, 22H2) og Windows 11 (23H2, 24H2, 25H2, 26H1) i alle versioner ældre end de angivne opdaterede build-numre. Det rammer især virksomheder, der bruger Hyper-V til virtualisering, herunder hostingudbydere, kommuner med egen serverdrift og virksomheder, der kører flere virtuelle maskiner for forskellige afdelinger eller kunder på samme fysiske server.

En bruger eller proces med adgang til en virtuel maskine kan udnytte fejlen til at bryde ud af den virtuelle maskine og få kontrol over selve værtsserveren. Det betyder, at én kompromitteret virtuel maskine kan give adgang til alle andre virtuelle maskiner på samme vært, herunder deres data og systemer. For en dansk virksomhed, der deler serverkapacitet mellem afdelinger eller kunder, kan det betyde, at adskillelsen mellem miljøer bryder sammen.

CVSS-score er 8,4 ud af 10, vurderet alvorlig. Angrebet kræver ingen brugerinteraktion og ingen forudgående rettigheder, men det kræver lokal adgang til systemet, for eksempel som bruger i en virtuel maskine. Det kan altså ikke udnyttes direkte fra internettet uden først at have fået fodfæste et sted i miljøet. Konsekvensen ved udnyttelse er til gengæld fuld kompromittering: fortrolighed, integritet og tilgængelighed rammes alle i højeste grad. Der er ingen kendte tegn på aktiv udnyttelse på offentliggørelsesdatoen.

Følgende skridt lukker hullet og reducerer risikoen, mens I opdaterer:

1. Installér Microsofts opdatering fra juni 2026, der hæver build-nummeret til de rettede versioner for jeres Windows-udgave.
2. Prioritér Hyper-V-værter, især dem der kører virtuelle maskiner for flere afdelinger eller eksterne kunder.
3. Begræns hvem der har adgang til at logge ind i virtuelle maskiner og på selve værten, indtil opdateringen er kørt.
4. Gennemgå logs for usædvanlig aktivitet fra virtuelle maskiner, hvis I mistænker udnyttelse før patching.
5. Test opdateringen i et testmiljø, hvis I kører kritiske produktionssystemer på Hyper-V, før den rulles bredt ud.
6. Kontakt en ekstern sikkerhedspartner, hvis I har et komplekst hybridmiljø eller mangler ressourcer til at teste og udrulle opdateringen inden for få uger.