CVE-2026-69715: Kritisk fejl i Windows DirectShow
Kritisk fejl i Windows DirectShow lader angribere køre kode over netværket uden login. Installer Microsofts sikkerhedsopdatering nu.
Hvad er det?
CVE-2026-69715 er en sårbarhed i Windows DirectShow, som er den indbyggede komponent i Windows til afspilning og behandling af lyd og video. Fejlen er en out-of-bounds read, hvor programmet læser data uden for det hukommelsesområde, det har fået tildelt. Det kan udnyttes til at overskrive hukommelse og få systemet til at køre kode, angriberen har placeret der. Fejlen er registreret under CWE-122 (heap-baseret bufferoverløb) og CWE-125 (læsning uden for hukommelsesgrænser).
Hvem rammer det?
Sårbarheden rammer Windows-systemer, hvor DirectShow-komponenten er aktiv. Det gælder både klientmaskiner og servere, da DirectShow er en del af det underliggende medieafspilningslag i Windows og bruges af mange programmer, herunder browsere, videokonferenceværktøjer og medieservere. Virksomheder med Windows-baserede arbejdsstationer, terminalservere eller medietjenester eksponeret mod internettet eller internt netværk bør se sårbarheden som relevant.
Hvad kan ske?
En angriber, der udnytter fejlen, kan opnå fuld kontrol over den ramte maskine uden at have et brugernavn eller kodeord og uden at offeret skal klikke på noget. I praksis betyder det, at angriberen kan installere skadelig software, stjæle data eller bruge maskinen som springbræt videre ind i netværket. For en dansk virksomhed kan det ende med driftsstop, datatab eller et afpresningsangreb, hvis den ramte maskine har adgang til andre systemer.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste risikokategori. Angrebet kræver ikke login, ikke særlige rettigheder og ikke nogen handling fra brugeren. Det kan udføres over netværket. Fortrolighed, integritet og tilgængelighed vurderes alle til høj påvirkning, hvilket betyder, at angriberen kan læse, ændre og ødelægge data samt lukke systemet ned. Der er pr. offentliggørelsesdatoen ikke rapporteret om aktiv udnyttelse i praksis, men sårbarhedens karakter gør den attraktiv for angribere.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I venter på fuld opdatering.
- Installer Microsofts sikkerhedsopdatering for de ramte Windows-versioner via Windows Update eller WSUS.
- Prioriter servere og maskiner, der er tilgængelige fra internettet eller behandler medieindhold fra eksterne kilder.
- Kontrollér, at opdateringen faktisk er installeret på alle relevante maskiner, ikke kun sendt ud.
- Begræns netværksadgang til systemer, der endnu ikke er opdateret, indtil opdateringen er på plads.
- Overvåg logfiler for uventet netværkstrafik eller processer, der ikke hører til normal drift.
- Kontakt en sikkerhedspartner, hvis I ikke kan verificere, at alle systemer er opdateret, eller hvis I opdager tegn på kompromittering.
Opdatér inden for 24 timer
Vi anbefaler, at opdateringen installeres på alle Windows-systemer så hurtigt som muligt, da sårbarheden kan udnyttes fuldt automatisk uden login eller brugerinteraktion. Det er ikke forsvarligt at vente til en almindelig opdateringscyklus, da eksponerede systemer kan blive kompromitteret, før opdateringen nås. Er systemerne allerede isoleret fra internettet og interne netværk med begrænset adgang, kan I vente få dage, men bør stadig planlægge opdateringen snarest.
Tidslinje
Konkrete eksempler
Medieserver eksponeret mod internettet
En dansk mellemstor virksomhed driver en Windows-server, der behandler videostrømme fra kunder via en netværkstjeneste. En angriber sender et manipuleret videosignal til serveren, som udløser fejlen i DirectShow og giver angriberen kontrol over serveren uden at nogen medarbejder har foretaget en handling. Herfra kan angriberen bevæge sig videre ind i virksomhedens netværk og få adgang til andre systemer.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-69715?
I er ramt, hvis I har Windows-maskiner, hvor DirectShow-komponenten er en del af systemet, hvilket gælder de fleste Windows-installationer. Tjek jeres patchniveau via Windows Update eller jeres styringssystem for at se, om sikkerhedsopdateringen er installeret.
Hvordan tjekker vi, om vores systemer er opdaterede?
Kør Windows Update eller kontrollér status i WSUS, SCCM eller lignende styringsværktøj. Se efter den seneste sikkerhedsopdatering, der adresserer CVE-2026-69715, i opdateringshistorikken på de enkelte maskiner.
Kan vi vente til weekenden med at opdatere?
Det anbefales ikke for systemer, der er tilgængelige fra internettet eller behandler medieindhold fra eksterne kilder. For isolerede interne systemer med begrænset netværksadgang kan opdateringen udskydes få dage, men bør planlægges snarest muligt.
Skal vi anmelde noget, hvis vi finder tegn på udnyttelse?
Hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet og persondata er kompromitteret, skal I vurdere anmeldepligt efter databeskyttelsesreglerne og kontakte Datatilsynet inden for 72 timer. Kontakt også en sikkerhedspartner for at afklare omfanget af angrebet.
Påvirker sårbarheden også servere, der ikke bruges til video?
Ja, DirectShow kan være aktiv på servere, selv hvis de ikke primært bruges til medieafspilning, fordi komponenten er en del af Windows’ underliggende arkitektur og bruges af andre programmer og tjenester i baggrunden.
Hvad koster det at vente med at opdatere?
Da angrebet ikke kræver login eller brugerhandling, kan en ueksponeret sårbarhed udnyttes automatisk af scanninger og angrebsværktøjer, der leder efter sårbare systemer på nettet. Prisen ved at vente kan være driftsstop, datatab og genopretningsomkostninger, som langt overstiger tiden det tager at installere opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Out-of-bounds read in Windows Direct Show allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.