CVE-2026-83999: Windows 11 & Server 2025 sårbarhed

CVE-2026-83999 er en fejl i Windows Resilient File System (ReFS), et filsystem der bruges til lagerservere og deduplikering, altså komprimering af gentagne datablokke for at spare plads. Fejlen ligger i deduplikeringstjenesten, som følger en fil- eller mappehenvisning forkert, før den tilgår filen. Det kaldes ‘link following’ og betyder, at systemet kan blive narret til at arbejde med en anden fil eller mappe end den, det tror det arbejder med. En bruger, der allerede har en lav rettighed på maskinen, kan udnytte dette til at få systemet til at læse, skrive eller slette filer, som brugeren normalt ikke har adgang til, og derved skaffe sig fulde rettigheder på maskinen.

Sårbarheden findes i Microsoft Windows 11 version 24H2 før build 10.0.26100.9445, Windows 11 25H2 før build 10.0.26200.9445, Windows 11 26H1 før build 10.0.28000.2954 og Windows Server 2025 før build 10.0.26100.33438. Den rammer især organisationer, der bruger ReFS med deduplikering på filservere, lagerløsninger eller virtualiseringsplatforme, herunder kommuner og virksomheder med egne fil- og backupservere.

En medarbejder eller angriber, der allerede har en almindelig brugerkonto på en server, kan udnytte fejlen til at hæve sine rettigheder til systemniveau. Det betyder, at personen kan installere software, læse alle filer på serveren, ændre sikkerhedsindstillinger eller sprede sig videre til andre systemer i netværket. For en dansk virksomhed kan det i praksis føre til, at en kompromitteret medarbejderkonto ender med at give en angriber fuld kontrol over en fil- eller lagerserver med kunde- eller medarbejderdata.

CVSS-scoren er 7,0 ud af 10, vurderet som alvorlig. Angrebet kræver lokal adgang til maskinen (AV:L), det vil sige, at angriberen allerede skal være logget på med en konto, og det kræver en lav rettighed på forhånd (PR:L). Angrebskompleksiteten er høj (AC:H), hvilket betyder, at det kræver specifikke forudsætninger at udnytte fejlen i praksis. Der skal ikke brugerinteraktion til (UI:N). Konsekvensen er fuld skade på fortrolighed, integritet og tilgængelighed, hvis fejlen udnyttes. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Installer den seneste Windows-opdatering på alle Windows 11 24H2, 25H2, 26H1 og Windows Server 2025-maskiner, der bruger ReFS med deduplikering.
2. Kortlæg, hvilke servere i jeres organisation kører ReFS-deduplikering, da fejlen ikke rammer maskiner uden denne funktion aktiveret.
3. Gennemgå, hvilke brugerkonti har lokal adgang til de sårbare servere, og fjern unødvendige adgange.
4. Overvåg logs for uventede rettighedsændringer eller filaktivitet på de servere, der endnu ikke er opdateret.
5. Prioriter opdatering af servere, der huser fælles filområder eller backupdata, da konsekvensen her er størst.
6. Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv kan verificere, om jeres servere bruger ReFS-deduplikering.