CVE-2026-83978: Fejl i Windows Biometric Service giver adminadgang

CVE-2026-83978 er en fejl i Windows Biometric Service, den komponent i Windows, der styrer fingeraftryk og ansigtsgenkendelse. Fejltypen kaldes heap-based buffer overflow: programmet skriver mere data til en hukommelsesblok, end den er beregnet til, hvilket kan bruges til at overskrive andre data i hukommelsen. En angriber, der allerede har almindelig brugeradgang til maskinen, kan udnytte fejlen til at hæve sine rettigheder til systemniveau, det højeste niveau i Windows. Der skal ikke klikkes på noget, og der kræves ingen særlig brugerinteraktion, kun lokal adgang til maskinen.

Sårbarheden findes i alle understøttede Windows-klienter og -servere, der bruger Windows Biometric Service. Det omfatter Windows 10 (version 1607, 1809, 21H2 og 22H2), Windows 11 (23H2, 24H2, 25H2 og 26H1) samt Windows Server 2016, 2019, 2022 og 2025 i versioner ældre end de opdaterede builds fra Microsoft. Rammer alle danske virksomheder og kommuner, der kører disse Windows-versioner, uanset om biometrisk login faktisk bruges, da servicen ofte kører i baggrunden.

En angriber, der har fået almindelig brugeradgang til en pc eller server, for eksempel via en phishing-mail eller stjålne loginoplysninger, kan bruge fejlen til at få fuld administratoradgang til maskinen. Det giver mulighed for at installere skadelig software, deaktivere sikkerhedsløsninger, læse og ændre alle filer og bevæge sig videre til andre systemer på netværket. For en dansk virksomhed betyder det, at en umiddelbart begrænset kompromittering kan udvikle sig til fuld kontrol over den enkelte maskine og et springbræt til resten af netværket.

CVSS-scoren er 7,8 ud af 10, hvilket Microsoft og NVD klassificerer som alvorlig. Angrebet kræver lokal adgang til maskinen (ikke over netværket), lav kompleksitet og kun lave brugerrettigheder, men ingen brugerinteraktion. Konsekvensen er fuld kontrol over fortrolighed, integritet og tilgængelighed på den ramte maskine. Der er ingen offentlige oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen, men fordi den kræver forholdsvis lidt for at give fuld administratoradgang, bør den håndteres som en del af den næste normale opdateringsrunde.

Sådan lukker I hullet og begrænser risikoen:

1. Installér Microsofts sikkerhedsopdatering til jeres Windows-version via Windows Update eller WSUS, så versionen kommer op på mindst den angivne mindsteversion (fx 10.0.19045.7725 for Windows 10 22H2).
2. Prioritér servere og pc’er, hvor flere brugere har almindelig adgang, herunder terminalservere, citrix-miljøer og delte administrationsmaskiner.
3. Begræns, hvem der har lokal login-adgang til kritiske servere, som en generel forsvarslinje mod lignende privilegie-eskaleringer.
4. Kontrollér, at antivirus og EDR-løsninger (endpoint detection and response, værktøjer der overvåger og reagerer på mistænkelig aktivitet på enheder) opdager forsøg på misbrug af Windows Biometric Service.
5. Hold styr på patch-status i jeres enhedsstyring, så I kan dokumentere, hvornår hver maskine er opdateret.
6. Hvis I ikke selv har overblik over, hvilke maskiner der er ramt, eller mangler ressourcer til at rulle opdateringen ud bredt, bør I bede os eller en anden it-sikkerhedspartner om hjælp til at kortlægge og lukke sårbarheden.