CVE-2026-83979: Fejl i Windows Biometric Service

CVE-2026-83979 er en sårbarhed i Windows Biometric Service, den komponent i Windows der styrer fingeraftryk og ansigtsgenkendelse til login. Fejltypen kaldes use-after-free: programmet bruger en hukommelsesblok, der allerede er frigivet, hvilket giver en angriber mulighed for at placere skadelig kode i den ledige plads og få den udført. Sårbarheden kræver, at angriberen allerede har adgang til maskinen med en almindelig brugerkonto. Fra den position kan fejlen bruges til at hæve rettighederne til systemniveau, det højeste niveau i Windows, uden at brugeren skal klikke på noget eller godkende en handling.

Sårbarheden findes i alle understøttede versioner af Windows 10, Windows 11 og Windows Server, herunder Windows 10 1607, 1809, 21H2 og 22H2, Windows 11 23H2, 24H2, 25H2 og 26H1, samt Windows Server 2016, 2019, 2022 og 2025. Alle virksomheder med Windows-arbejdsstationer eller Windows-servere er derfor i praksis berørt, uanset branche eller størrelse. Rettede versioner findes til alle de nævnte produkter og udrulles via Windows Update.

En medarbejder, praktikant eller studentermedhjælper med en almindelig brugerkonto kan udnytte fejlen til at få administratorrettigheder på maskinen. Med de rettigheder kan personen installere programmer, deaktivere sikkerhedssoftware, læse andre brugeres data eller bruge maskinen som springbræt videre ind i netværket. Fejlen er også relevant, hvis en angriber allerede har fået fat i en almindelig brugerkonto, for eksempel via stjålne login-oplysninger, og skal bruge et sidste skridt til at tage kontrol over maskinen.

CVSS-scoren er 7,8 ud af 10, kategoriseret som alvorlig. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede er logget på med en konto. Der skal lave rettigheder til for at starte angrebet, men ingen brugerhandling er nødvendig undervejs. Konsekvensen ved udnyttelse er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed kan alle kompromitteres. Der er ingen offentlige rapporter om, at sårbarheden er udnyttet i angreb, og der er heller ikke offentliggjort færdig angrebskode på tidspunktet for offentliggørelsen.

Sårbarheden lukkes ved at installere den rettede Windows-opdatering. Gør følgende:

1. Installer den seneste sikkerhedsopdatering til jeres Windows-version via Windows Update eller jeres patch-styringssystem, så versionen mindst svarer til de rettede versionsnumre.
2. Prioriter servere og maskiner, hvor flere brugere deler adgang, eksempelvis terminalservere og fælles kiosk-pc’er, da risikoen for lokal udnyttelse er størst der.
3. Sørg for, at alle brugerkonti følger princippet om mindste rettigheder, så almindelige medarbejdere ikke har administratorrettigheder i forvejen.
4. Kontrollér med jeres it-leverandør eller MDM-løsning, at opdateringen er nået ud til alle enheder, ikke kun de centrale servere.
5. Log og overvåg unormale rettighedsændringer på kritiske servere, hvis I har mulighed for det via jeres SIEM eller logløsning.
6. Kontakt en sikkerhedsleverandør, hvis I har enheder, der ikke kan opdateres, for eksempel ældre systemer i produktionsmiljøer, så I kan få hjælp til afskærmning eller kompenserende kontroller.