CVE-2026-72979: Kritisk fejl i Windows DHCP Server

CVE-2026-72979 er en sårbarhed i Windows DHCP Server, den tjeneste der automatisk tildeler IP-adresser til computere og andre enheder på et netværk. Fejlen er en use-after-free, en programmeringsfejl hvor systemet fortsætter med at bruge et stykke hukommelse, efter det er frigivet. Det kan give en angriber mulighed for at afvikle egen kode på serveren. Fejlen kræver ingen brugerhandling og ingen login. En angriber, der kan sende netværkstrafik til DHCP-tjenesten, kan udnytte den direkte over netværket.

Sårbarheden rammer Windows Server-installationer, hvor rollen DHCP Server er installeret og aktiveret. Det gælder typisk kommuner, produktionsvirksomheder og mellemstore selskaber, der selv driver deres netværksinfrastruktur med Active Directory og egen DHCP-tjeneste, i modsætning til virksomheder, der har lagt IP-adressetildeling ud til en router eller en administreret netværksudbyder. Er DHCP-rollen ikke installeret på serveren, er den ikke berørt.

Kan en angriber udnytte fejlen, får vedkommende mulighed for at afvikle vilkårlig kode på serveren med samme rettigheder som DHCP-tjenesten, ofte med høje systemrettigheder. Da DHCP-servere typisk er placeret centralt i netværket og har adgang til Active Directory-domænet, kan en kompromitteret DHCP-server bruges som springbræt til at overtage andre servere, læse eller ændre data og sprede sig videre i netværket, herunder til domænekontrollere.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, kun at angriberen kan sende trafik til DHCP-tjenesten over netværket. Komplexiteten er lav, hvilket betyder, at et angreb ikke kræver særlig indsigt eller specielle omstændigheder. Konsekvensen rammer fortrolighed, integritet og driftsstabilitet fuldt ud. Der er ikke oplyst aktiv udnyttelse på offentliggørelsesdatoen, men den lave kompleksitet og det høje skadespotentiale gør sårbarheden til et oplagt mål for angribere, så snart teknikken bliver offentligt kendt.

Følgende handlinger lukker hullet og begrænser skaden, hvis serveren allerede er udsat:

1. Installér Microsofts sikkerhedsopdatering til Windows Server med DHCP-rollen på alle berørte servere.
2. Kortlæg, hvilke servere i jeres miljø har DHCP-rollen installeret og aktiveret, hvis I ikke allerede har overblikket.
3. Begræns netværksadgang til DHCP-tjenesten, så kun de netværkssegmenter, der har brug for adgang, kan nå serveren, indtil opdateringen er installeret.
4. Genstart DHCP-tjenesten eller serveren efter opdateringen for at sikre, at opdateringen er fuldt aktiveret.
5. Gennemgå logs for DHCP-tjenesten for usædvanlig trafik eller genstart af tjenesten forud for opdateringen.
6. Kontakt Auroa eller en anden sikkerhedspartner, hvis I ikke har overblik over jeres DHCP-servere, eller hvis opdateringen ikke kan installeres uden driftsafbrydelse.