CVE-2026-69579: Kritisk RCE-fejl i Windows Message Queuing
Kritisk fejl i Windows Message Queuing lader angribere køre kode uden login. Opdatér eller deaktiver tjenesten straks.
Hvad er det?
CVE-2026-69579 er en sårbarhed i Windows Message Queuing (MSMQ), en valgfri Windows-komponent, der bruges til at sende beskeder mellem systemer, ofte i forbindelse med ældre forretningssystemer og integrationer. Fejlen er en use-after-free, hvilket betyder, at programmet fejlagtigt genbruger et stykke hukommelse, der allerede er frigivet, hvilket en angriber kan udnytte til at få programmet til at køre skadelig kode. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan ske over netværket.
Hvem rammer det?
Sårbarheden rammer Windows-systemer, hvor Message Queuing-tjenesten (MSMQ) er installeret og aktiveret. Tjenesten er ikke slået til som standard, men bruges ofte i danske virksomheder til at koble ældre ERP-systemer, lagerstyring eller produktionssystemer sammen. Tjenesten lytter typisk på TCP-port 1801. Både Windows-servere og -klienter kan være berørt, hvis MSMQ er sat op.
Hvad kan ske?
En angriber, der kan nå port 1801 på et sårbart system, kan opnå fuld kontrol over maskinen uden at kende et brugernavn eller kodeord. Det kan i praksis betyde installation af ransomware, udtræk af følsomme data eller brug af maskinen som springbræt videre ind i netværket. Da hverken login eller brugerhandling er nødvendig, kan angrebet ske automatiseret og uden varsel.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver adgang over netværket, ingen forudgående rettigheder og ingen handling fra en bruger. Både fortrolighed, integritet og tilgængelighed vurderes til høj konsekvens, hvilket betyder, at en vellykket udnyttelse giver fuld kontrol over systemet. Der er ikke på offentliggørelsestidspunktet meldinger om aktiv udnyttelse i praksis, men den lave kompleksitet gør sårbarheden attraktiv for angribere.
Hvad gør jeg nu?
Vi anbefaler følgende trin i prioriteret rækkefølge:
- Installér Microsofts sikkerhedsopdatering til CVE-2026-69579 på alle systemer med Message Queuing installeret. Det lukker hullet direkte.
- Undersøg om Message Queuing-tjenesten (MSMQ) overhovedet er nødvendig hos jer. Er den ikke i brug, bør den deaktiveres helt.
- Er tjenesten nødvendig, så begræns adgang til port 1801 med firewallregler, så kun betroede systemer kan nå den.
- Gennemgå logfiler for usædvanlig trafik mod MSMQ-tjenesten for tegn på forsøg på udnyttelse.
- Sørg for, at alle Windows-systemer i øvrigt er opdaterede, da flere sårbarheder ofte udnyttes sammen.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke har overblik over, hvor mange systemer der har MSMQ aktiveret, eller ikke selv kan nå at opdatere hurtigt.
Opdatér inden for 48 timer
Vi anbefaler, at alle systemer med Message Queuing installeret opdateres hurtigst muligt, da sårbarheden kan udnyttes uden login og uden brugerhandling. Er tjenesten ikke i brug, bør den deaktiveres frem for blot at opdateres, da det fjerner angrebsfladen helt. Det er kun forsvarligt at vente, hvis I med sikkerhed ved, at MSMQ ikke er installeret nogen steder i jeres miljø.
Tidslinje
Konkrete eksempler
Ældre ERP-integration med MSMQ
En dansk produktionsvirksomhed bruger Message Queuing til at sende ordredata mellem et ældre ERP-system og en produktionsserver. Tjenesten blev sat op for flere år siden og er siden glemt i dokumentationen. En angriber, der får adgang til det interne netværk, finder den åbne MSMQ-port og opnår fuld kontrol over produktionsserveren uden at skulle logge ind noget sted.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Message Queuing?
Tjek om tjenesten ‘Message Queuing’ kører under Windows-tjenester på jeres servere og klienter. I kan også scanne netværket for åbne forbindelser på TCP-port 1801, som tjenesten typisk bruger.
Er vi ramt, hvis vi ikke bruger MSMQ?
Nej. Er Message Queuing ikke installeret eller ikke aktiveret hos jer, er I ikke sårbare over for CVE-2026-69579, og der er ingen grund til at handle på denne konkrete sårbarhed.
Kan vi vente til den næste planlagte opdateringsrunde?
Nej, ikke hvis MSMQ er aktiveret. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over netværket, så vi anbefaler at fremrykke opdateringen frem for at vente til en fast opdateringscyklus.
Skal vi anmelde hændelsen, hvis vi opdager tegn på udnyttelse?
Ja. Har I tegn på, at systemet er kompromitteret, bør I følge jeres interne beredskabsplan og eventuelt anmelde det til Center for Cybersikkerhed samt orientere Datatilsynet, hvis persondata er involveret.
Er sårbarheden svær at udnytte teknisk set?
Nej. CVSS-vurderingen sætter angrebskompleksiteten til lav, hvilket betyder, at en angriber ikke behøver særlige forudsætninger eller adgang på forhånd for at udnytte fejlen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Use after free in Windows Message Queuing allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.