CVE-2026-83971: Sårbarhed i Windows Biometric Service

CVE-2026-83971 er en sårbarhed i Windows Biometric Service, den komponent i Windows, der håndterer fingeraftryk og ansigtsgenkendelse til login. Fejlen er et heap-baseret bufferoverløb, en fejltype hvor et program skriver mere data til en hukommelsesblok end den er beregnet til, hvilket kan overskrive tilstødende hukommelse og give angriberen kontrol over systemet. En bruger, der allerede er logget ind med almindelige rettigheder, kan udnytte fejlen til at opnå fulde administratorrettigheder på maskinen. Angrebet kræver ikke, at nogen klikker på noget eller godkender en handling, og det kan udføres uden netværksadgang, alene fra en lokal session.

Sårbarheden rammer stort set alle understøttede versioner af Windows 10, Windows 11 og Windows Server, herunder Windows 10 version 1607, 1809, 21H2 og 22H2, Windows 11 version 23H2, 24H2, 25H2 og 26H1 samt Windows Server 2016, 2019, 2022 og 2025. Det betyder i praksis, at næsten alle danske virksomheder med Windows-arbejdsstationer eller -servere er berørt, uanset om de rent faktisk bruger biometrisk login, da servicen som regel kører som standard.

I praksis betyder sårbarheden, at en medarbejder, en praktikant eller en angriber med et almindeligt brugerlogin kan hæve sine rettigheder til systemadministrator på den lokale maskine. Herfra kan vedkommende installere skadelig software, deaktivere sikkerhedsværktøjer, læse andre brugeres data eller bruge maskinen som springbræt videre ind i jeres netværk. Fejlen er særligt relevant, hvis I har delte computere, terminalservere eller maskiner, hvor flere personer logger ind med begrænsede rettigheder.

CVSS-scoren er 7,8 ud af 10, hvilket klassificeres som alvorlig. Angrebet kræver, at man allerede har et gyldigt lokalt login med lave rettigheder, men det kræver ikke brugerinteraktion fra andre og ikke adgang over netværket. Kompleksiteten er lav, så et fungerende angreb er relativt enkelt at udføre, når først man har fat i en konto. Der er ikke rapporteret om aktiv udnyttelse eller offentliggjort angrebskode på offentliggørelsestidspunktet, men da fejlen nu er kendt offentligt, kan det ændre sig.

Sårbarheden lukkes med Microsofts opdatering til de berørte Windows-versioner. Gør følgende:

1. Installer den seneste sikkerhedsopdatering fra Microsoft til jeres version af Windows 10, Windows 11 eller Windows Server via Windows Update eller jeres patch-system.
2. Prioriter servere og maskiner med flere brugerkonti eller delt adgang, da de har størst risiko.
3. Kortlæg, hvilke enheder der endnu ikke er opdateret, ved hjælp af jeres patch management-værktøj.
4. Begræns lokale brugerrettigheder mest muligt, så færrest mulige konti kan udnytte fejlen, indtil opdateringen er rullet ud.
5. Log og overvåg usædvanlige rettighedsændringer på kritiske servere i perioden frem til fuld udrulning.
6. Kontakt en sikkerhedsrådgiver, hvis I har mange enheder, der ikke kan opdateres med det samme, eller hvis I mistænker, at fejlen allerede er udnyttet.