RoguePlanet (CVE-2026-50656): fejl i Microsoft Defender

RoguePlanet (CVE-2026-50656) er navnet på en sårbarhed i Microsoft Malware Protection Engine, den motor som Microsoft Defender bruger til at scanne filer for skadelig kode. Fejlen er klassificeret som CWE-59, det betyder at programmet i visse tilfælde følger en genvej eller et link til en fil forkert, uden at kontrollere om filen faktisk er den, den giver sig ud for at være. En bruger eller et program med begrænsede rettigheder på en maskine kan derfor udnytte fejlen til at få adgang til filer eller processer med højere rettigheder, end de burde have. Microsoft har på offentliggørelsesdatoen ikke frigivet en sikkerhedsopdatering, men arbejder på en løsning.

Sårbarheden findes i Microsoft Malware Protection Engine, som er den underliggende scanningsmotor i Microsoft Defender. Den er som standard installeret og aktiv på næsten alle Windows-maskiner, servere som klienter, uanset om organisationen bruger et tredjeparts antivirusprodukt sammen med den. Det gælder derfor alle danske virksomheder og kommuner, der kører Windows med Defender aktiveret, hvilket i praksis er de fleste.

En angriber, der allerede har fået begrænset adgang til en maskine, for eksempel via en phishing-mail eller en inficeret fil, kan bruge sårbarheden til at hæve sine rettigheder til systemniveau. Herfra kan angriberen deaktivere sikkerhedssoftware, installere yderligere skadelig kode, læse eller ændre alle filer på maskinen og bevæge sig videre til andre systemer på netværket. For en dansk virksomhed betyder det, at en i øvrigt begrænset infektion kan udvikle sig til et fuldt kompromis af maskinen og potentielt hele netværket.

CVSS-score er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede kan køre kode eller er logget på med et almindeligt brugerkonto med lave rettigheder. Der kræves ingen handling fra en anden bruger, og påvirkningen er fuld på fortrolighed, integritet og tilgængelighed, hvis fejlen udnyttes. Der er ikke rapporteret om aktiv udnyttelse eller offentligt tilgængelig angrebskode på offentliggørelsesdatoen, men fejlen kræver ikke fjernadgang, hvilket gør den relevant primært som et led i en større angrebskæde.

Microsoft arbejder på en opdatering, men I kan reducere risikoen allerede nu:

1. Kontrollér at Microsoft Defenders scanningsmotor opdateres automatisk via Microsoft Update eller Windows Update, det sker som standard uden manuel handling.
2. Tjek den aktuelle motorversion på et repræsentativt antal maskiner for at bekræfte, at automatisk opdatering faktisk fungerer.
3. Sørg for at gruppepolitikker eller netværksrestriktioner ikke blokerer for automatiske opdateringer af Defender.
4. Begræns lokale administratorrettigheder for almindelige brugere, så en eventuel udnyttelse har mindre effekt.
5. Følg Microsofts sikkerhedsopdateringer og installer den kommende opdatering til CVE-2026-50656, så snart den frigives.
6. Kontakt en sikkerhedspartner, hvis I ikke kan bekræfte at automatiske opdateringer virker, eller hvis I har mistanke om, at en maskine allerede er kompromitteret.