CVE-2026-83955: Sårbarhed i Windows Biometric Service

CVE-2026-83955 er en fejl i Windows Biometric Service, den komponent der styrer fingeraftryk og ansigtsgenkendelse via Windows Hello. Fejlen er et heap-baseret bufferoverløb: programmet skriver mere data til en hukommelsesblok, end der er plads til, og overskriver dermed tilstødende hukommelse. En bruger, der allerede er logget på maskinen med almindelige rettigheder, kan udnytte fejlen til at skrive kode ind i systemets hukommelse og få den kørt med de højeste rettigheder på maskinen (SYSTEM). Der skal ikke klikkes på noget eller åbnes en fil. Angrebet kræver kun lokal adgang til enheden.

Sårbarheden findes i næsten alle nuværende Windows-versioner: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1) samt Windows Server 2016, 2019, 2022 og 2025. Alle danske virksomheder med Windows-arbejdsstationer eller -servere, der ikke har installeret den seneste sikkerhedsopdatering, er berørte. Det gælder specifikt enheder med opdateringer ældre end de versioner, Microsoft har angivet som rettede, for eksempel Windows 11 24H2 før build 10.0.26100.9445.

En medarbejder med et almindeligt Windows-login, eller en angriber der har fået fodfæste på en pc via phishing eller stjålne loginoplysninger, kan bruge fejlen til at hæve sine rettigheder til systemniveau. Med systemrettigheder kan angriberen deaktivere sikkerhedssoftware, installere skadelig kode, læse alle data på maskinen og bevæge sig videre til andre systemer på netværket. Fejlen er derfor særligt relevant, hvor flere medarbejdere deler pc’er, eller hvor der er risiko for, at en angriber allerede har et fodfæste med lave rettigheder.

CVSS-score er 7,8 ud af 10, kategorien alvorlig. Angrebet kræver lokal adgang til maskinen (fysisk eller via et eksisterende, om end begrænset, login), men kun lave rettigheder og ingen brugerhandling fra offeret. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på systemet, fordi angriberen ender med de højeste rettigheder. Der er ikke oplyst om aktiv udnyttelse i naturen på offentliggørelsesdatoen, men fejltypen (heap-overløb med lav angrebskompleksitet) gør den attraktiv for angribere, der allerede har adgang til et system.

Prioritér opdateringen på systemer med flere brugere eller høj eksponering, dernæst resten af flåden.

1. Installér Microsofts sikkerhedsopdatering for jeres Windows-version via Windows Update eller WSUS/SCCM, så den rettede build (se versionslisten) er installeret på alle enheder.
2. Kortlæg hvilke pc’er og servere der endnu ikke er opdateret, med særlig fokus på servere og delte arbejdsstationer, hvor flere brugere logger på samme maskine.
3. Begræns lokale rettigheder for almindelige medarbejdere, så færrest muligt har lokal administratoradgang, indtil opdateringen er rullet ud.
4. Overvåg logs for uventede rettighedsforhøjelser eller mistænkelig aktivitet på Windows Biometric Service, hvis I har SIEM eller EDR-løsning.
5. Test opdateringen på et repræsentativt sæt maskiner, inden den rulles ud til hele organisationen, for at undgå driftsstop.
6. Kontakt jeres it-leverandør eller Auroa, hvis I har systemer, der ikke kan opdateres med det samme, for eksempel produktionsudstyr med fastlåste Windows-versioner.