CVE-2026-69845: Kritisk fejl i Windows DHCP Server
Kritisk fejl i Windows DHCP Server giver angribere mulighed for at køre kode over netværket uden login. Installér opdateringen hurtigst muligt.
Hvad er det?
CVE-2026-69845 er en fejl i Windows DHCP Server, den tjeneste på Windows Server, der uddeler IP-adresser til computere på et netværk. Fejlen er en heap-baseret bufferoverløb, hvor programmet skriver mere data til en hukommelsesblok end den er beregnet til. Det kan en angriber udnytte til at overskrive nærliggende hukommelse og få serveren til at køre kode, angriberen selv har valgt. Fejlen skyldes desuden mangelfuld kontrol af inddata, det vil sige at serveren ikke tjekker de data, den modtager, godt nok, inden den behandler dem.
Hvem rammer det?
Sårbarheden rammer Windows Server-installationer, hvor DHCP-serverrollen er aktiveret. Det gælder mange danske virksomheder og kommuner, der selv driver Windows Server til at uddele IP-adresser internt på kontornetværk, produktionsnetværk eller til gæstenetværk. Systemer, hvor DHCP-rollen ikke er installeret, er ikke ramt.
Hvad kan ske?
En angriber, der kan sende netværkstrafik til DHCP-serveren, kan udnytte fejlen til at få kode kørt med de rettigheder, DHCP-tjenesten har, typisk systemrettigheder. Det giver i praksis fuld kontrol over serveren. Da DHCP-servere ofte har en central placering i netværket og adgang til domæneoplysninger, kan en kompromitteret server bruges som springbræt til resten af netværket, herunder installation af ransomware eller udtrækning af data.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra en bruger. Det kan udføres over netværket af en person uden adgangsrettigheder til systemet i forvejen, hvilket gør fejlen særligt farlig for servere, der er tilgængelige fra flere dele af netværket eller fra internettet. Der er ikke oplysninger om, at fejlen på nuværende tidspunkt aktivt udnyttes i angreb, men den tekniske karakter gør den forholdsvis nem at udvikle et udnyttelsesværktøj til.
Hvad gør jeg nu?
Vi anbefaler følgende trin i denne rækkefølge:
- Installér den sikkerhedsopdatering fra Microsoft, der retter fejlen, på alle servere med DHCP-serverrollen installeret.
- Kortlæg, hvilke af jeres servere der har DHCP-rollen aktiv, hvis I ikke allerede har et overblik.
- Begræns netværksadgangen til DHCP-serverne, så kun de netværkssegmenter, der har brug for det, kan nå dem.
- Overvåg logfiler fra DHCP-serverne for uventede genstarter eller unormal trafik i perioden efter offentliggørelsen.
- Hvis I ikke kan opdatere med det samme, bør I isolere DHCP-serveren mest muligt fra usikre netværk, indtil opdateringen er installeret.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I har mere end en håndfuld DHCP-servere, eller hvis I er i tvivl om, hvordan opdateringen påvirker jeres drift.
Opdatér inden for 48 timer
Vi anbefaler, at I installerer opdateringen på alle Windows-servere med DHCP-rollen, så tidligt som jeres driftsvindue tillader det, og at det sker inden for 48 timer. Det er kun forsvarligt at vente, hvis DHCP-serveren er fuldstændig isoleret fra alle andre netværk og ikke har nogen netværksadgang udefra, og selv da bør opdateringen prioriteres højt.
Tidslinje
Konkrete eksempler
Kompromitteret DHCP-server hos dansk produktionsvirksomhed
En dansk produktionsvirksomhed driver en Windows Server med DHCP-rollen til at uddele IP-adresser på kontornetværket. En medarbejders computer bliver inficeret via en phishingmail, og angriberen bruger den kompromitterede maskine som udgangspunkt til at sende skadelige forespørgsler til DHCP-serveren. Fejlen udnyttes til at få systemrettigheder på serveren, hvorfra angriberen får adgang til domæneoplysninger og kan bevæge sig videre til andre kritiske systemer i netværket.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger DHCP-serverrollen?
Åbn Server Manager på jeres Windows Server-maskiner og kig under Roller. Står DHCP Server der som installeret, er serveren ramt. I kan også bruge PowerShell-kommandoen Get-WindowsFeature til at tjekke status på flere servere samtidig.
Kan vi vente til den næste planlagte opdateringsrunde?
Nej, det anbefaler vi ikke. Fejlen kræver ingen login og kan udnyttes over netværket, så den bør opdateres uden om den normale rytme, gerne inden for 48 timer.
Er vi ramt, hvis DHCP-serveren kun bruges internt?
Ja, jeres server er stadig sårbar, hvis en angriber kan nå den fra jeres interne netværk, for eksempel via en kompromitteret medarbejdercomputer eller et usikret gæstenetværk. Intern placering reducerer risikoen, men fjerner den ikke.
Hvad koster det, hvis vi venter en uge med opdateringen?
Prisen viser sig, hvis fejlen bliver udnyttet. En kompromitteret DHCP-server kan bruges til at få fuld kontrol over serveren og herfra bevæge sig videre i netværket, hvilket i værste fald ender med driftsstop eller udbredt kryptering af data. En opdatering tager typisk kort tid at installere sammenlignet med den oprydning, et angreb kræver.
Skal vi anmelde det, hvis vi bliver ramt?
Bliver I udsat for et angreb, der udnytter denne fejl, og det medfører et sikkerhedsbrud med persondata, skal I vurdere, om det skal anmeldes til Datatilsynet inden for 72 timer efter jeres opdagelse, jævnfør databeskyttelsesreglerne.
Kræver opdateringen, at vi genstarter serveren?
Sikkerhedsopdateringer til Windows Server, der retter fejl i kernekomponenter som DHCP-tjenesten, kræver typisk en genstart, før rettelsen er fuldt aktiv. Planlæg derfor et kort driftsvindue til installationen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Heap-based buffer overflow in Windows DHCP Server allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.