CVE-2026-45647: Rettighedsfejl i Defender for Endpoint
Fejl i Microsoft Defender for Endpoint kan lade en lokal bruger opnå højere rettigheder. Opdatér til version 101.26042.0011 eller nyere.
Hvad er det?
CVE-2026-45647 er en race condition af typen time-of-check time-of-use, forkortet TOCTOU, i Microsoft Defender for Endpoint. En TOCTOU-fejl opstår, når et program tjekker en tilstand, for eksempel en fils rettigheder, men tilstanden når at ændre sig, inden programmet handler på den. En angriber kan udnytte det tidsrum til at snyde Defender til at udføre en handling med for høje rettigheder.
Hvem rammer det?
Sårbarheden rammer Microsoft Defender for Endpoint i versioner ældre end 101.26042.0011. Det gælder virksomheder og kommuner, der bruger Defender for Endpoint som overvågnings- og beskyttelsesløsning på Windows-arbejdsstationer og -servere, uanset om det er hostet i skyen eller lokalt administreret.
Hvad kan ske?
En bruger eller proces, der allerede har almindelige rettigheder på en maskine, kan udnytte fejlen til at hæve sine rettigheder lokalt, potentielt til systemniveau. Det kan bruges til at slå sikkerhedsfunktioner fra, skjule andre angreb eller give sig selv adgang til data og systemer, som brugeren normalt ikke måtte se. Fejlen kræver ikke internetadgang eller kontakt til andre systemer, den udnyttes lokalt på den ramte enhed.
Hvor alvorligt er det?
CVSS-scoren er 5,5 ud af 10, moderat risiko. Angrebet kræver, at angriberen allerede har lokal adgang og lave rettigheder på maskinen, men kræver ingen handling fra andre brugere. Kompleksiteten er lav, så et fungerende angreb er ikke svært at bygge, når man først har fodfæste. Fortrolighed og tilgængelighed påvirkes ikke, men integritet rammes hårdt, fordi angriberen kan ændre systemets tilstand med højere rettigheder. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Fejlen lukkes med en opdatering fra Microsoft, som de fleste organisationer allerede henter automatisk. Gør følgende:
- Opdatér Microsoft Defender for Endpoint til version 101.26042.0011 eller nyere. Defender opdaterer normalt automatisk, men det bør bekræftes fremfor antages.
- Tjek den installerede version på et repræsentativt udsnit af jeres enheder, både servere og klienter.
- Gennemgå, om automatiske opdateringer af Defender-komponenter er slået til i jeres administrationsværktøj, for eksempel Intune eller Configuration Manager.
- Begræns, hvem der har lokale brugerkonti med almindelige rettigheder på følsomme maskiner, da fejlen kræver lokal adgang for at kunne udnyttes.
- Hold øje med usædvanlige rettighedsændringer i jeres logning i perioden efter opdateringen er rullet ud.
- Har I ikke central kontrol med Defender-opdateringer på tværs af jeres enheder, bør I hente hjælp udefra til at få det etableret.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I sikrer jer, at Microsoft Defender for Endpoint opdateres automatisk til version 101.26042.0011 eller nyere, og at I stikprøvekontrollerer versionen på jeres enheder. Fordi fejlen kræver lokal adgang og ikke er set udnyttet, er det acceptabelt at lade opdateringen følge jeres normale rytme for Windows-opdateringer, fremfor at afbryde driften akut. Vent dog ikke længere end til næste planlagte vedligeholdelsesvindue.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto bruges til at hæve rettigheder
En dansk virksomhed oplever, at en medarbejders pc bliver inficeret med malware via en phishing-mail. Malwaren har kun almindelige brugerrettigheder, men udnytter TOCTOU-fejlen i Defender for Endpoint til at hæve sig til systemrettigheder. Herfra deaktiverer den dele af sikkerhedsovervågningen og spreder sig videre i netværket, inden IT-afdelingen opdager hændelsen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-45647?
I er ramt, hvis I bruger Microsoft Defender for Endpoint i en version ældre end 101.26042.0011. Tjek versionen i Defender-konsollen eller via jeres administrationsværktøj.
Kan vi vente til weekenden med at opdatere?
Ja, i de fleste tilfælde. Sårbarheden kræver lokal adgang og er ikke set udnyttet aktivt, så I kan lade opdateringen indgå i jeres normale vedligeholdelsesplan, så længe den ikke ligger flere uger ude.
Kræver det, at en bruger klikker på noget?
Nej. Sårbarheden kræver ingen handling fra en bruger. Den forudsætter dog, at angriberen allerede har lokal adgang med almindelige rettigheder på maskinen.
Opdaterer Defender sig selv, eller skal vi gøre noget manuelt?
Defender for Endpoint opdaterer normalt automatisk. I bør alligevel bekræfte, at automatiske opdateringer er aktiveret, og at enhederne rent faktisk har hentet den nye version.
Skal vi anmelde noget, hvis vi ikke har opdateret endnu?
Nej, der er ingen anmeldelsespligt alene fordi en opdatering mangler. Bliver systemet derimod faktisk kompromitteret, gælder jeres almindelige regler for hændelseshåndtering og eventuel anmeldelse til Datatilsynet.
Hvordan tjekker vi, om nogen har udnyttet fejlen hos os?
Se efter usædvanlige rettighedsændringer eller processer, der pludselig kører med systemrettigheder, i jeres sikkerhedslogning omkring det tidspunkt, hvor enheden var på en sårbar version.
Ramte produkter
Microsoft: Defender For Endpoint
< 101.26042.0011
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Time-of-check time-of-use (toctou) race condition in Microsoft Defender for Endpoint allows an authorized attacker to elevate privileges locally.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.