CVE-2026-69768: Kritisk fejl i Windows RNDIS-driver
Kritisk sårbarhed i Windows RNDIS-driver (CVE-2026-69768) lader angribere køre kode uden login. Installer opdateringen straks.
Hvad er det?
Sårbarheden findes i Windows’ RNDIS-driver, som styrer netværksforbindelser over USB-adaptere, mobilt hotspot og visse virtuelle netværkskort. Fejlen er et heap-baseret bufferoverløb, CWE-122, hvor driveren skriver mere data til en hukommelsesblok end den er beregnet til. En angriber kan udnytte det ved at sende specielt udformede netværkspakker og derved få afviklet egen kode med de rettigheder, driveren kører med, typisk systemrettigheder. CVE-id er CVE-2026-69768.
Hvem rammer det?
Det rammer Windows-computere og -servere, der bruger RNDIS til netværksforbindelse, for eksempel via USB-netværksadaptere, mobilt tethering fra telefon, eller virtuelle netværkskort i test- og udviklingsmiljøer. Da RNDIS er en indbygget del af Windows, er det relevant for stort set alle danske virksomheder med Windows-klienter, uanset branche eller størrelse.
Hvad kan ske?
En angriber på samme netværk, eller en angriber der kan sende trafik til den ramte maskine, kan udnytte fejlen til at køre kode uden at logge ind og uden at brugeren gør noget. I praksis kan det give fuld kontrol over maskinen, adgang til filer og adgangskoder, og en mulighed for at sprede angrebet videre til andre maskiner på netværket.
Hvor alvorligt er det?
CVSS-score er 9,8 af 10, kritisk. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over netværk med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den lave angrebskompleksitet og fraværet af krav om interaktion gør sårbarheden attraktiv for angribere, så snart tekniske detaljer bliver kendt.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Installer den seneste sikkerhedsopdatering fra Microsoft til Windows via Windows Update eller jeres patch-system, så snart den er tilgængelig for jeres version.
- Kortlæg hvilke maskiner der bruger USB-netværksadaptere, mobilt tethering eller virtuelle netværkskort med RNDIS, og prioritér dem først.
- Begræns adgang til sårbare maskiner ved at segmentere netværket og undgå at koble ukendte USB-netværksadaptere eller mobiltelefoner til virksomhedens computere.
- Overvåg netværkstrafik for usædvanlige forbindelser til maskiner, der endnu ikke er opdateret.
- Kan opdateringen ikke installeres med det samme, deaktiver RNDIS-driveren eller blokér den relevante netværkstrafik som midlertidig løsning.
- Kontakt en sikkerhedsrådgiver, hvis I har mange enheder, der ikke kan opdateres hurtigt, eller hvis I opdager tegn på kompromittering.
Opdatér inden for 72 timer
Vi anbefaler, at I installerer Microsofts sikkerhedsopdatering til RNDIS-driveren så hurtigt som muligt, særligt på maskiner der bruger USB-netværksadaptere eller mobilt tethering. Det er kun forsvarligt at vente til næste planlagte opdateringsrunde, hvis maskinerne er isoleret fra netværk og ikke bruger RNDIS-baserede forbindelser. Er I i tvivl om, hvilke systemer der er ramt, hjælper vi gerne med en hurtig kortlægning.
Tidslinje
Konkrete eksempler
Medarbejder på café bruger mobilt hotspot
En medarbejder i en dansk virksomhed forbinder sin bærbare computer til internettet via mobilt hotspot fra sin telefon, mens hun arbejder fra en café. En angriber på samme trådløse netværk sender specielt udformede netværkspakker til RNDIS-driveren på hendes computer og får afviklet kode med systemrettigheder, uden at hun bemærker noget. Angriberen får dermed adgang til virksomhedens data og kan bruge maskinen som springbræt ind i virksomhedens netværk, når hun senere kobler sig på kontorets VPN.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-69768?
Hvis I bruger Windows-computere med USB-netværksadaptere, mobilt hotspot fra telefoner eller virtuelle netværkskort, er I potentielt ramt. Tjek Windows-version og om RNDIS-driveren er i brug på jeres maskiner.
Hvordan tjekker vi, om vores systemer er sårbare?
Se om enheden har installeret den seneste Windows-sikkerhedsopdatering, og om RNDIS-drivere er aktive i jeres enhedshåndtering eller driverliste.
Kan vi vente til weekenden med at opdatere?
Nej, ikke for maskiner der bruger RNDIS-forbindelser og er tilgængelige fra netværket. Opdater dem hurtigst muligt på grund af den kritiske sværhedsgrad.
Skal vi anmelde dette til myndighederne?
Sårbarheden i sig selv skal ikke anmeldes. Konstaterer I derimod et konkret sikkerhedsbrud, hvor persondata er kompromitteret, skal det anmeldes til Datatilsynet inden 72 timer.
Er sårbarheden udnyttet i praksis?
Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den kritiske score og lave angrebskompleksitet gør det sandsynligt, at angribere hurtigt udvikler angrebskode.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Segmenter netværket, undgå at koble ukendte USB-netværksadaptere eller mobiltelefoner til virksomhedens maskiner, og overvåg trafikken, indtil opdateringen kan installeres.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Heap-based buffer overflow in Windows RNDIS allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.