CVE-2026-83985: Fejl i Windows Biometric Service

CVE-2026-83985 er en fejl i Windows Biometric Service, den tjeneste der styrer login med fingeraftryk og ansigtsgenkendelse i Windows. Fejlen er et heap-based buffer overflow, en hukommelsesfejl hvor et program skriver mere data til en hukommelsesblok, end den er beregnet til, og derved overskriver naboliggende data i hukommelsen. En bruger, der allerede er logget ind med lave rettigheder på maskinen, kan udnytte fejlen til at få tjenesten til at afvikle kode med højere rettigheder, typisk på SYSTEM-niveau. Angrebet kræver ingen brugerinteraktion fra andre og ingen adgang over netværket, kun lokal adgang til den enkelte maskine.

Sårbarheden findes i alle understøttede udgaver af Windows 10 og Windows 11 samt Windows Server 2016, 2019, 2022 og 2025, i versionerne nævnt ovenfor. Det rammer altså både medarbejdernes bærbare og stationære computere og jeres servere, hvis den biometriske tjeneste er installeret og aktiv, hvilket den er som standard på de fleste opdaterede Windows-maskiner. Virksomheder, der bruger fingeraftryk eller ansigtslogin via Windows Hello, er ikke mere udsatte end andre, fejlen ligger i tjenesten selv, ikke i brugen af biometri.

En medarbejder eller en angriber, der allerede har fået et almindeligt brugerlogin, for eksempel via phishing eller et stjålet kodeord, kan bruge fejlen til at hæve sine rettigheder til administrator eller SYSTEM på maskinen. Derfra kan de installere skadelig software, deaktivere sikkerhedsprogrammer, læse andre brugeres data eller bevæge sig videre til andre systemer på netværket. For en dansk virksomhed betyder det, at et i udgangspunktet begrænset angreb med en almindelig medarbejderkonto kan udvikle sig til fuld kontrol over en klient eller server.

CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen og et gyldigt, men lavt privilegeret login, det kan altså ikke udføres direkte over internettet. Der kræves ingen handling fra en bruger, som at klikke på et link eller åbne en fil. Konsekvensen ved udnyttelse er høj på alle tre parametre, fortrolighed, integritet og tilgængelighed, fordi angriberen kan opnå fuld kontrol med systemet. Der er pr. offentliggørelsen ingen oplysninger om, at fejlen aktivt udnyttes, eller at der findes offentligt tilgængelig kode til at udnytte den.

Sårbarheden er rettet af Microsoft, og opdateringen bør installeres som en del af den normale opdateringsproces.

1. Installér den seneste sikkerhedsopdatering fra Microsoft til alle ramte Windows-klienter og -servere via Windows Update eller jeres centrale patch-system.
2. Prioritér servere og maskiner, hvor flere brugere deler login, eller hvor eksterne konsulenter har adgang.
3. Kontrollér, at automatisk opdatering er aktiveret på klienter, der ikke administreres centralt.
4. Gennemgå lokale administratorrettigheder og fjern unødvendige rettigheder fra almindelige brugerkonti, så en eventuel udnyttelse begrænses.
5. Kontakt Auroa eller en anden it-sikkerhedsrådgiver, hvis I har systemer, der ikke kan opdateres med det samme, for eksempel ældre servere i produktion.