CVE-2026-83969: Fejl i Windows Biometric Service

CVE-2026-83969 er en fejl i Windows Biometric Service, den komponent i Windows der styrer fingeraftryk og ansigtsgenkendelse til Windows Hello-login. Fejlen er en heap-baseret bufferoverløb, hvilket betyder at programmet skriver mere data til et hukommelsesområde end der er plads til, og dermed overskriver naboliggende hukommelse. En angriber, der allerede har almindelig brugeradgang til maskinen, kan udnytte fejlen til at få systemrettigheder, altså de højeste rettigheder i Windows.

Sårbarheden findes i stort set alle understøttede Windows-versioner: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1) samt Windows Server 2016, 2019, 2022 og 2025. Alle maskiner med versioner under de angivne build-numre er ramt, uanset om biometrisk login rent faktisk bruges, da Biometric Service kører som standard på mange installationer.

Har en angriber først fået fodfæste på en maskine, for eksempel via en phishing-mail med et vedhæftet dokument, kan sårbarheden bruges til at hæve rettigheder fra almindelig bruger til systemniveau. Det giver adgang til at installere skadelig kode, deaktivere sikkerhedsværktøjer, læse alle data på maskinen og bevæge sig videre i netværket. For en dansk virksomhed betyder det, at en i øvrigt begrænset kompromittering kan udvikle sig til fuld kontrol over en medarbejders pc eller en server.

CVSS-score er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen og at angriberen allerede har lave rettigheder, men kræver ingen handling fra brugeren og er teknisk enkelt at udføre. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på den ramte maskine. Der er ikke belæg for, at sårbarheden aktivt udnyttes ved offentliggørelsen, men den er velbeskrevet og relativt let at udnytte, så det er kun et spørgsmål om tid.

Sårbarheden lukkes ved at installere Microsofts opdatering. Gør følgende:

1. Installér den seneste sikkerhedsopdatering fra Microsoft til jeres Windows-version via Windows Update eller WSUS/Intune.
2. Prioritér servere og maskiner, hvor flere brugere har adgang, eller hvor der køres delte tjenester.
3. Kortlæg hvilke maskiner der endnu ikke er opdateret, og sæt en deadline for fuld udrulning.
4. Gennemgå logning for Windows Biometric Service for at se, om der har været usædvanlig aktivitet forud for opdateringen.
5. Overvej at deaktivere biometrisk login på maskiner, der ikke bruger det, indtil opdateringen er rullet ud.
6. Kontakt jeres it-leverandør eller Auroa, hvis I har mere end en håndfuld maskiner, der ikke kan opdateres inden for kort tid.