CVE-2026-68839: Kritisk fejl i Windows’ USB-driver

CVE-2026-68839 er en heap-baseret bufferoverløb, en fejl hvor et program skriver mere data til en hukommelsesblok end den er beregnet til, så data overskriver anden hukommelse. Fejlen sidder i Windows’ indbyggede USB Mass Storage Class Driver, den driver der styrer, hvordan Windows genkender og kommunikerer med USB-lagerenheder som memory sticks og eksterne harddiske. Fejlen skyldes mangelfuld validering af inputdata (CWE-20), som gør det muligt at udløse overløbet (CWE-122) og få driveren til at afvikle kode, som angriberen bestemmer.

Sårbarheden rammer Windows-systemer, hvor USB Mass Storage Class Driver er aktiv. Det er en standarddriver, der følger med de fleste Windows-installationer, både servere og arbejdsstationer, og den er som regel aktiveret som standard, uanset om der rent fysisk sidder USB-enheder i maskinen. Det gør potentielt hele jeres Windows-flåde relevant, indtil I har bekræftet, at opdateringen er installeret.

En angriber, der kan sende data til den sårbare driver over netværket, kan udnytte overløbet til at afvikle egen kode med de rettigheder, driveren kører med. Det svarer i praksis til fuld kontrol over den ramte maskine: installation af skadelig software, aflæsning af data og adgang videre ind i netværket. For en dansk virksomhed betyder det risiko for, at en enkelt sårbar server eller pc bliver indgangen til resten af infrastrukturen.

CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver ingen adgangskode (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket (AV:N) med lav teknisk kompleksitet (AC:L). Det er den kombination, der gør fejlen særligt alvorlig: den kan i princippet udnyttes automatisk og i stor skala, uden at nogen medarbejder skal klikke på noget. Der er ikke oplysninger om, at fejlen er udnyttet i praksis endnu, men den lave kompleksitet betyder, at det kan ændre sig hurtigt, når fejlen er offentligt kendt.

Det vigtigste er at få opdateringen installeret. Gør det i denne rækkefølge:

1. Installer den seneste sikkerhedsopdatering fra Microsoft til Windows via Windows Update, WSUS eller jeres patch-styringssystem, så driveren opdateres.
2. Kortlæg, hvilke servere og pc’er der endnu ikke har fået opdateringen, og prioriter systemer, der er tilgængelige fra netværket eller internettet.
3. Hvor opdatering ikke kan ske med det samme, begræns netværksadgangen til de sårbare systemer med firewall-regler eller netværkssegmentering.
4. Overvåg logs for uventet driveraktivitet eller mistænkelig trafik mod de systemer, der endnu ikke er opdateret.
5. Kontakt jeres it-driftsleverandør eller os hos Auroa, hvis I har systemer, der ikke kan opdateres inden for kort tid, eller hvis I mangler overblik over, hvor driveren er i brug.