CVE-2026-83974: Fejl i Windows Biometric Service

CVE-2026-83974 er en fejl i Windows Biometric Service, den komponent i Windows der håndterer fingeraftryk og ansigtsgenkendelse til login. Fejlen er en heap-baseret bufferoverskrivning, hvilket betyder at programmet skriver mere data til en hukommelsesblok end den er beregnet til. Det kan en angriber udnytte til at overskrive tilstødende hukommelse og få programmet til at køre egen kode med højere rettigheder end tilsigtet. En bruger, der allerede er logget ind med en almindelig konto, kan udnytte fejlen til at hæve sine egne rettigheder til systemniveau, altså fuld kontrol over maskinen.

Sårbarheden findes i alle understøttede versioner af Windows 10 og 11 samt Windows Server 2016 til 2025, når systemet ikke har den nyeste sikkerhedsopdatering installeret. Det gælder blandt andet Windows 10 22H2 før build 10.0.19045.7725, Windows 11 24H2 før build 10.0.26100.9445 og Windows Server 2022 før build 10.0.20348.5622. Både kontor-pc’er, bærbare og servere er berørt, uanset om de rent faktisk bruger fingeraftryk eller ansigtsgenkendelse til login, da tjenesten som regel kører i baggrunden på Windows-maskiner.

En medarbejder med en almindelig, begrænset brugerkonto, eller en angriber der allerede har fået fodfæste på en maskine gennem eksempelvis en phishing-mail, kan udnytte fejlen til at opnå administratorrettigheder. Herfra kan vedkommende installere skadelig software, deaktivere sikkerhedsværktøjer, tilgå andre brugeres data eller bevæge sig videre til andre systemer på netværket. For en dansk virksomhed betyder det, at en tilsyneladende harmløs konto pludselig kan blive springbræt til fuld kontrol over en pc eller server.

CVSS-score er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang, altså at angriberen allerede er logget ind på maskinen, men det kræver hverken avanceret teknik eller handling fra en anden bruger. Angriberen skal have et gyldigt, om end begrænset, brugerlogin i forvejen. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fuld kontrol over systemet. Der er ingen oplysninger om, at fejlen aktivt udnyttes i angreb på nuværende offentliggørelsestidspunkt.

Sådan lukker I hullet og begrænser risikoen:

1. Installér Microsofts sikkerhedsopdatering til jeres Windows-version via Windows Update eller jeres patch-styringssystem, så versionen kommer over de nævnte build-numre.
2. Prioritér servere og delte maskiner, hvor flere brugere logger ind med forskellige rettigheder, da risikoen for udnyttelse er størst her.
3. Gennemgå hvilke konti der har lokal login-adgang, og fjern unødvendige brugerkonti eller rettigheder.
4. Sørg for at antivirus og endpoint-beskyttelse er opdateret, så eventuel efterfølgende skadelig aktivitet efter en udnyttelse kan opdages.
5. Test opdateringen på et repræsentativt udvalg af maskiner, inden den rulles ud bredt, hvis I har kritiske systemer der kræver stabilitetstest.
6. Kontakt en ekstern it-sikkerhedspartner, hvis I ikke selv har kapacitet til at rulle opdateringen ud på alle enheder inden for et par uger, eller hvis I mistænker at fejlen allerede er udnyttet.