CVE-2026-83976: Fejl i Windows Biometric Service

Der er fundet en sårbarhed i Windows Biometric Service, den tjeneste der styrer login med fingeraftryk og ansigtsgenkendelse i Windows. Fejlen er et heap-based buffer overflow, det vil sige en programmeringsfejl hvor et program skriver mere data til en hukommelsesblok, end blokken er beregnet til. Det kan overskrive nærliggende data og bruges til at få systemet til at udføre kode, som en angriber styrer, med højere rettigheder end angriberen normalt har.

Sårbarheden findes i alle understøttede versioner af Windows 10, Windows 11 og Windows Server, fra Windows 10 1607 til Windows 11 26h1, samt Windows Server 2016 til 2025. Det gælder både arbejdsstationer og servere, hvor Windows Biometric Service er aktiveret, for eksempel maskiner med fingeraftrykslæser eller ansigtskamera til Windows Hello. Rammer jeres virksomhed alle Windows-maskiner, som ikke er opdateret til den nyeste build for jeres version.

En bruger, der allerede har almindelig adgang til en maskine, for eksempel via et kompromitteret medarbejderlogin eller malware, kan udnytte fejlen til at hæve sine rettigheder til systemniveau. Det betyder fuld kontrol over maskinen: installation af programmer, adgang til andre brugeres data, og mulighed for at bevæge sig videre til andre systemer på netværket. I praksis omdanner sårbarheden en begrænset kompromittering til en fuld overtagelse af den enkelte maskine.

CVSS-score er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede er logget på eller har fået kode til at køre på systemet. Det kræver kun lave rettigheder i forvejen, ingen brugerinteraktion fra en anden person, og lav teknisk kompleksitet at udføre. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed kan alle kompromitteres fuldt ud. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, men sårbarheden er velkendt og typen af fejl bruges ofte i kæder med andre angreb, for eksempel phishing efterfulgt af rettighedseskalering.

Sådan lukker I hullet og begrænser risikoen, mens opdateringen rulles ud.

1. Installer Microsofts sikkerhedsopdatering til jeres Windows-version via Windows Update eller WSUS, så build-nummeret når mindst det niveau, der er angivet for jeres system.
2. Prioriter servere og maskiner, hvor Windows Hello eller anden biometrisk login er aktiveret, da tjenesten er relevant der.
3. Kortlæg, hvilke maskiner der endnu ikke er opdateret, og fjern lokal administratoradgang for almindelige brugere, hvor det er muligt.
4. Overvåg for uventet rettighedseskalering eller usædvanlig proceskørsel på maskiner, der endnu ikke er opdateret.
5. Kontakt Auroa eller en anden it-sikkerhedspartner, hvis I har mange maskiner uden central patch-styring eller er i tvivl om, hvilke systemer der er ramt.