CVE-2026-50508: NTLM-sårbarhed lækker data i Windows
Fejl i Windows NTLM kan afsløre loginoplysninger til en angriber. Installér Microsofts opdatering.
Hvad er det?
CVE-2026-50508 er en sårbarhed i NTLM (New Technology LAN Manager), som er en ældre godkendelsesprotokol i Windows, der bruges til at bekræfte brugeres identitet på netværk. Fejlen gør, at følsomme oplysninger, som kan bruges til at udgive sig for en bruger, kan lække til en angriber. Det kræver, at brugeren foretager en handling, for eksempel åbner en fil eller klikker på et link, som får Windows til at sende godkendelsesoplysninger til en server, angriberen kontrollerer. Angriberen kan derefter bruge oplysningerne til at optræde som brugeren over for andre systemer på netværket.
Hvem rammer det?
Sårbarheden rammer Windows 10 version 1607 før build 10.0.14393.9234, Windows 11 22H2 før build 10.0.22631.7219, Windows Server 2004 før build 10.0.19045.7417, Windows Server 2012 og 2012 R2, Windows Server 2016 før build 10.0.14393.9234 samt Windows Server 2022 før build 10.0.20348.5256. Det gælder både klientmaskiner og servere, der stadig anvender NTLM til godkendelse, hvilket er tilfældet i mange danske virksomheder med ældre Active Directory-opsætninger eller filservere.
Hvad kan ske?
Lykkes angrebet, kan en ekstern part opsnappe oplysninger, der gør det muligt at udgive sig for en medarbejder over for andre systemer på netværket, for eksempel filservere eller interne applikationer. Det kan føre til uautoriseret adgang til data eller videre skridt mod domænet, uden at der er stjålet et konkret kodeord. For en dansk virksomhed betyder det en risiko for, at en enkelt klikket vedhæftning eller et enkelt åbnet dokument kan give en angriber fodfæste inde i netværket.
Hvor alvorligt er det?
CVSS-score er 6,5 ud af 10, hvilket er moderat. Angrebet kræver ikke, at angriberen er logget ind, men det kræver, at brugeren udfører en handling, som for eksempel at åbne en fil eller besøge et link. Sårbarheden rammer kun fortroligheden af data, ikke systemets integritet eller drift. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Installér Microsofts sikkerhedsopdatering til den relevante Windows-version eller Windows Server-version via Windows Update eller WSUS.
- Prioritér servere og klienter, der stadig bruger NTLM til godkendelse, herunder ældre Windows Server 2012-installationer, som kræver særskilt opmærksomhed.
- Undersøg om NTLM kan begrænses eller udfases til fordel for Kerberos i jeres Active Directory, hvor det er muligt.
- Oplys medarbejdere om ikke at åbne filer eller klikke på links fra ukendte afsendere, da angrebet kræver en brugerhandling.
- Kontrollér logs for usædvanlig NTLM-trafik mod eksterne adresser, hvis I har mulighed for netværksovervågning.
- Kontakt en it-sikkerhedsrådgiver, hvis I har servere, der ikke kan opdateres, eller hvis I er i tvivl om jeres NTLM-eksponering.
Opdatér ved næste patchvindue
Vi anbefaler, at I installerer opdateringen til jeres Windows-klienter og -servere ved næste planlagte patchvindue, da der ikke er tegn på aktiv udnyttelse. I bør dog fremskynde opdateringen for servere, der er direkte tilgængelige fra internettet eller håndterer følsomme data. Det er i orden at vente til en almindelig opdateringscyklus, hvis jeres netværk allerede begrænser NTLM-trafik til eksterne adresser.
Tidslinje
Konkrete eksempler
Medarbejder åbner et forfalsket dokument
En medarbejder i en dansk produktionsvirksomhed modtager en e-mail med et vedhæftet dokument, der ligner en faktura. Ved at åbne dokumentet sender Windows automatisk NTLM-godkendelsesoplysninger til en server, som angriberen kontrollerer. Angriberen bruger oplysningerne til at forsøge adgang til virksomhedens filserver, uden at medarbejderen selv har afgivet et kodeord.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører en af de nævnte Windows- eller Windows Server-versioner uden den seneste opdatering, og hvis NTLM stadig bruges til godkendelse i jeres miljø. Tjek jeres builds op mod de angivne versionsnumre.
Hvordan tjekker vi, om vores systemer er opdateret?
Kør winver eller kig i Windows Update-historikken på klienter, og brug WSUS eller Windows Admin Center til at se opdateringsstatus på servere. Sammenhold buildnummeret med de fikse builds, Microsoft har udgivet.
Kan vi vente til weekenden med at opdatere?
Ja, i de fleste tilfælde, da sårbarheden kræver en brugerhandling og ikke er kendt udnyttet. Vent dog ikke, hvis I har systemer, der er eksponeret mod internettet, eller hvis I har svært ved at kontrollere brugeradfærd.
Skal vi anmelde hændelsen til myndighederne?
Der er ikke krav om anmeldelse alene fordi sårbarheden findes. Opdager I derimod tegn på, at oplysninger faktisk er lækket og misbrugt, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, og I bør vurdere det konkret.
Hvad gør vi, hvis vi ikke kan opdatere en server med det samme?
Begræns NTLM-trafik til nødvendige systemer, overvåg logs for mistænkelig aktivitet, og isolér serveren fra internettet, hvis det er muligt, indtil opdateringen kan installeres.
Ramte produkter
Microsoft: Windows 10 1607
< 10.0.14393.9234
Microsoft: Windows 11 22h2
< 10.0.22631.7219
Microsoft: Windows Server 2004
< 10.0.19045.7417
Microsoft: Windows Server 2012
–
Microsoft: Windows Server 2012
r2
Microsoft: Windows Server 2016
< 10.0.14393.9234
Microsoft: Windows Server 2022
< 10.0.20348.5256
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Exposure of sensitive information to an unauthorized actor in Windows NTLM allows an unauthorized attacker to perform spoofing over a network.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.