CVE-2026-70296: Kritisk fejl i Windows Imaging Component
Kritisk fejl i Windows’ billedkomponent (CVE-2026-70296) giver fjernangribere fuld kontrol uden login. Installer Windows-opdateringen straks.
Hvad er det?
CVE-2026-70296 er en sårbarhed i Windows Imaging Component (WIC), den del af Windows der læser og viser billedfiler. WIC bruges af mange programmer, blandt andet Stifinder, Fotos, Outlook og browsere, når de viser miniaturebilleder eller åbner billedfiler. Fejlen er en såkaldt out-of-bounds write: programmet skriver data uden for det hukommelsesområde, det har fået tildelt. Det kan en angriber udnytte til at overskrive nabohukommelsen med sin egen kode og få den kørt på systemet.
Hvem rammer det?
Sårbarheden rammer Windows-systemer generelt, både arbejdsstationer og servere, hvor WIC bruges til at behandle billeder. Det omfatter typisk almindelige medarbejdercomputere, hvor Stifinder automatisk laver miniaturer af billedfiler, samt systemer der modtager filer via e-mail eller webbrowsere. Da NVD ikke oplister specifikke Windows-versioner, bør I følge Microsofts sikkerhedsmeddelelse for CVE-2026-70296 for at se, præcis hvilke Windows-udgaver der er berørt hos jer.
Hvad kan ske?
En angriber kan sende en manipuleret billedfil, for eksempel som e-mailvedhæftning, delt fil eller link til et billede på en hjemmeside. Så snart Windows behandler filen, for eksempel ved at vise et forhåndsvisningsbillede i Stifinder eller Outlook, kan angriberen få kørt egen kode med samme rettigheder som den bruger, der er logget ind. I praksis kan det føre til installation af skadelig software, udrulning af gidselsoftware eller adgang til virksomhedens data og netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen adgangskode eller login (PR:N), og offeret behøver ikke foretage sig noget aktivt som at klikke på et link (UI:N). Det er nok, at Windows automatisk behandler en billedfil, for eksempel via en miniaturevisning. Angrebet kan udføres over netværket. Der er ikke rapporteret om aktiv udnyttelse i naturen på offentliggørelsesdatoen, men den lave kompleksitet og det manglende krav om brugerhandling gør sårbarheden attraktiv for angribere, når teknikken bliver kendt.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse risikoen, mens I opdaterer:
- Installer Microsofts sikkerhedsopdatering til Windows, der retter CVE-2026-70296, på alle klienter og servere. Dette lukker selve hullet.
- Prioriter systemer, der er eksponeret mod internettet eller modtager filer fra eksterne parter, for eksempel mailservere og medarbejdercomputere med adgang til e-mail og web.
- Sørg for, at automatiske Windows-opdateringer er aktiveret, så fremtidige rettelser installeres uden manuel indgriben.
- Informer medarbejdere om ikke at åbne ukendte billedfiler eller vedhæftninger, før opdateringen er installeret på deres maskine.
- Gennemgå logs for usædvanlig proceskørsel eller netværkstrafik fra maskiner, der endnu ikke er opdateret.
- Har I mange enheder, eller kan I ikke opdatere alt inden for kort tid, bør I hente ekstern hjælp til at prioritere og udrulle opdateringen sikkert.
Opdatér inden for 48 timer
Vi anbefaler, at I installerer Microsofts sikkerhedsopdatering på alle Windows-enheder hurtigst muligt, da sårbarheden kræver hverken login eller brugerhandling for at blive udnyttet. Det er kun forsvarligt at vente, hvis systemet er fuldstændig isoleret fra netværk og eksterne filer, hvilket sjældent er tilfældet for almindelige medarbejdercomputere. For servere og enheder, der modtager mail eller filer udefra, bør opdateringen installeres samme dag, den bliver tilgængelig.
Tidslinje
Konkrete eksempler
Manipuleret billede i e-mailvedhæftning
En medarbejder i en dansk virksomhed modtager en e-mail med en tilsyneladende almindelig faktura vedhæftet som billede. Så snart Outlook automatisk viser en forhåndsvisning af filen, udløses sårbarheden i Windows Imaging Component, og angriberens kode køres på medarbejderens maskine. Derfra kan angriberen sprede sig videre i virksomhedens netværk uden at medarbejderen har klikket på noget.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores systemer er ramt?
Tjek jeres Windows-version og opdateringsstatus mod Microsofts sikkerhedsmeddelelse for CVE-2026-70296. Er en maskine ikke opdateret med den relevante sikkerhedsrettelse, er den potentielt sårbar, da WIC er en standardkomponent i Windows.
Kan vi vente med at opdatere til weekenden?
Det frarådes for maskiner, der bruger mail, browser eller deler filer med eksterne parter. Da sårbarheden kan udnyttes uden login eller klik, bør opdateringen installeres, så snart den er tilgængelig, og ikke afvente en planlagt vedligeholdelsesrunde.
Skal vi anmelde hændelsen, hvis vi opdager udnyttelse?
Ser I tegn på, at sårbarheden er blevet udnyttet, og persondata er kompromitteret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt underrette Datatilsynet inden for 72 timer.
Rammer det også vores servere, eller kun medarbejdercomputere?
WIC findes på både klient- og serverudgaver af Windows, hvor billedbehandling forekommer. Servere der modtager eller viser billedfiler, for eksempel filservere med forhåndsvisning eller webapplikationsservere, bør også opdateres.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Deaktiver om muligt automatisk forhåndsvisning af billeder i Stifinder og e-mailklienter, og bed medarbejdere undgå at åbne billedfiler fra ukendte afsendere, indtil opdateringen er installeret. Det reducerer risikoen, men lukker ikke selve hullet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Out-of-bounds write in Windows Imaging Component allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.