Microsoft tetter 1411 feil – én nulldag utnyttes allerede

Microsoft rettet 1411 feil 13. oktober 2026, deriblant én allerede utnyttet nulldag i Windows Shell, ifølge BleepingComputers opptelling av patchetirsdagen. To andre nulldager var offentlig kjent før rettingene kom. Opptellingen gjelder feil publisert på selve utgivelsesdagen og utelater 348 som ble rettet tidligere i oktober.

Den utnyttede feilen er CVE-2026-96951. Microsofts oversikt over oppdateringene 13. oktober 2026 bekrefter utnyttelse før rettingen og fører Windows 11, Windows Server, Office, SharePoint, Exchange Server og .NET med kritiske oppdateringer. For norske driftsteam peker dette mot berørte Windows-maskiner først, deretter kritiske produkter som faktisk er installert og eksponert.

Windows Shell-feilen bør foran i køen

CVE-2026-96951 kan omgå Mark of the Web, merkingen Windows bruker for å kjenne igjen filer fra mindre betrodde kilder. Når denne beskyttelsen omgås, kan sikkerhetsfunksjoner miste et signal om at filen skal behandles med ekstra varsomhet. Feilen er klassifisert som «Important», men bekreftet utnyttelse gjør den mer tidskritisk enn mange feil med høyere alvorlighetsgrad på papiret.

Utnyttelse krever at en bruker åpner en spesielt utformet fil. Det gjør arbeidsstasjoner som håndterer nedlastinger og vedlegg relevante, selv om de ikke tilbyr en tjeneste mot internett. Detaljer om de observerte angrepene er ikke offentliggjort, så prioriteringen bygger på den bekreftede utnyttelsen og sikkerhetsfunksjonen som kan omgås.

De to andre nulldagene har en annen status. CVE-2026-108398 i .NET Framework kan la en allerede autentisert angriper omgå Windows Defender Application Control ved å få en tilpasset .NET-komponent lastet inn i en beskyttet prosess. CVE-2026-92707 gjelder tjenestenekt i MessagePack-CSharp, en komponent knyttet til .NET og Visual Studio. At feilene var offentlig kjent før retting, betyr ikke at angrep mot dem er bekreftet.

Kritiske rettinger gjelder flere produktmiljøer

Oktoberutgivelsen berører langt mer enn Windows-klienter. Windows Server 2016, 2019, 2022 og 2025 er oppført med kritisk høyeste alvorlighetsgrad og mulig fjernkjøring av kode, også for Server Core-installasjoner. Windows 11 har samme høyeste kategori i produktoversikten. Dette er kategorier for berørte produktfamilier; de sier ikke at hver eneste feil i dem kan utnyttes på samme måte.

Office, SharePoint, Exchange Server og .NET er også oppført som kritiske, med fjernkjøring av kode som alvorligste mulige konsekvens. Visual Studio står i samme gruppe. For en virksomhet betyr det at en vanlig Office-installasjon, en SharePoint-tjeneste og en Exchange-server må knyttes til hver sin berørte versjon og utrullingsmåte. En produktoppføring alene forteller ikke om en bestemt installasjon er sårbar.

SQL Server, Dynamics og Azure står med «Important» som høyeste alvorlighetsgrad i den samme oversikten. De skal fortsatt vurderes mot bruken i virksomheten, særlig der tjenesten er tilgjengelig for uvedkommende eller håndterer verdifulle data. For Exchange Server viser oktoberoversikten dessuten til særskilt veiledning om utrulling; driftsavhengigheter er derfor en del av vurderingen, ikke bare CVE-listen.

Hvorfor rekordtallet ikke gir riktig rekkefølge

De 1411 feilene er en telling med en bestemt avgrensning, ikke en liste sortert etter risiko. I den samme opptellingen er 70 klassifisert som kritiske; blant dem gjelder 57 mulig fjernkjøring av kode, 11 privilegieheving og to forfalskning. Det viser hvor ulikt innhold som skjuler seg bak ett totalmål. En angriper trenger andre forutsetninger for en lokal privilegieheving enn for en feil som kan nås over nettverket.

Også månedens produktoversikt og patchetirsdagstallet har ulike rammer. De 348 feilene som fikk retting tidligere i oktober, teller ikke med i den avgrensede dagsopptellingen, selv om berørte produkter kan forekomme i månedens samlede oversikt. Derfor bør tallet brukes til å forstå omfanget av utgivelsen, mens konkrete CVE-er og installerte versjoner avgjør hva som haster.

En praktisk risikovurdering begynner med om feilen allerede utnyttes, fortsetter med angrepsvei og nødvendige rettigheter, og knytter dette til hvor produktet er installert. En kritisk serverfeil kan få høy prioritet når en berørt tjeneste er tilgjengelig utenfra; en feil i et bibliotek får først lokal betydning når applikasjonen faktisk bruker komponenten. Ingen av delene kan leses ut av den samlede feilopptellingen.

Norsk prioritering etter NSMs varsel

NSMs varsel fra 13. oktober 2026 anbefaler systemeiere å oppdatere programvaren så snart det lar seg gjøre, uten å fremheve en bestemt sårbarhet. En lokal rekkefølge må derfor bygges på utnyttelsesstatus, berørte produkter og virksomhetens egne installasjoner. For miljøer med mange systemer gir det en håndterbar start på utrullingen.

1. Identifiser Windows-maskiner som mangler rettingen for CVE-2026-96951, og prioriter dem fordi utnyttelse allerede er bekreftet. Ta med arbeidsstasjoner som åpner filer fra e-post, meldingstjenester og nettet.
2. Kartlegg berørte Windows Server-versjoner og kritiske SharePoint- og Exchange-installasjoner. Vurder eksponering, serverrolle, avhengigheter og produsentens utrullingsveiledning før vedlikeholdsvinduet fastsettes.
3. Ta med Office, .NET og Visual Studio etter hvilke versjoner og applikasjonsavhengigheter som finnes lokalt. Vurder deretter de offentlig kjente nulldagene ut fra om de berørte komponentene faktisk brukes.

Rekkefølgen er en redaksjonell vurdering av de publiserte opplysningene, ikke en felles tidsfrist for alle miljøer. Maskiner med den utnyttede Shell-feilen har fortsatt en kjent angrepsmulighet så lenge rettingen mangler, uansett hvor mange av de øvrige feilene virksomheten allerede har lukket.

Les også:

• DNB kutter 400 årsverk – KI-agentene har allerede overtatt oppgaver
• Citrix-hull utnyttes nå – en oppdatering rydder ikke bort et innbrudd
• Slack eller Teams: pakken du allerede betaler for kan avgjøre prisen