Två aktivt utnyttjade vägar till högre behörighet

Microsofts säkerhetsuppdateringar den 8 september 2026 innehåller korrigeringar för två Windows-sårbarheter som redan utnyttjas i verkliga angrepp. CISA lade samma dag till båda i katalogen Known Exploited Vulnerabilities, KEV, med sista åtgärdsdatum den 22 september 2026 för berörda amerikanska federala myndigheter. Datumet är inte ett generellt lagkrav för svenska organisationer, men ger ett tydligt mått på den operativa brådskan.

CVE-2026-81963 är en länkföljningsbrist i Windows Update Stack. En lokal angripare kan enligt CISA höja sina rättigheter till SYSTEM, den högsta normala systemnivån i Windows. Microsoft klassar bristen som Important med CVSS 7,8. Exploatering kräver lokal åtkomst eller en föregående väg till kodkörning, vilket betyder att felet sannolikt används som andra steg efter exempelvis nätfiske, skadligt dokument eller annan initial kompromettering.

CVE-2026-85880 är ett heap-baserat buffertöverskridningsfel i Windows Advanced Local Procedure Call, ALPC. Även den kan ge lokal privilegiehöjning och är av Microsoft klassad Important med CVSS 7,8. CISA bekräftar aktiv exploatering men anger ingen känd användning i ransomware-kampanjer för någon av de två CVE:erna. De offentliga källorna ger inte heller någon fungerande PoC eller detaljerade indikatorer på intrång.

LabOps IT klassar de två KEV-fynden som Akut. Skälet är inte CVSS-poängen ensam, utan att angreppen redan sker och att en lyckad exploatering kan omvandla en begränsad användarsession till SYSTEM. Uppdatera klienter och servrar med hög exponerings- eller användarrisk först och behandla försenade installationer som ett aktivt riskundantag.

Kritiska serverfel breddar prioriteringen

Septemberpaketet innehåller dessutom flera Critical-klassade fjärrkodskörningar i centrala Windows-tjänster. Zero Day Initiatives genomgång lyfter bland annat CVE-2026-69525 i Remote Desktop Services med CVSS 9,8. En fjärrangripare på nätverket kan enligt analysen angripa sårbarheten utan autentisering. Även om Microsofts exploaterbarhetsbedömning och faktiska konfigurationer måste vägas in är RDP:s stora spridning ett starkt skäl att testa och distribuera uppdateringen tidigt.

Samma genomgång listar kritiska RCE-fel i bland annat Windows Active Directory Domain Services, DHCP Server, DNS Server, SMB Client, Netlogon, RRAS, NFS, Failover Cluster och Message Queuing. Dessa är inte rapporterade som aktivt utnyttjade i de kontrollerade källorna, men flera beskrivs som möjliga utan autentisering eller användarinteraktion. Driftteam bör därför inte begränsa åtgärden till arbetsstationer med de två KEV-posterna. Domänkontrollanter, fjärrskrivbordsvärdar, DNS- och DHCP-servrar samt system med exponerad SMB- eller meddelandeköfunktion behöver en egen snabb prioriteringskö.

För den gruppen är prioriteten Hög: det finns ingen verifierad aktiv exploatering i de granskade källorna, men komponenternas roll och de kritiska fjärrvektorerna innebär stor möjlig konsekvens. Internetexponerad RDP ska fortsatt undvikas; använd VPN eller Zero Trust-åtkomst, nätverksnivåautentisering, MFA och begränsade administrationsvägar. Segmentering och avstängda oanvända roller minskar attackytan men ersätter inte säkerhetsuppdateringen.

Berörda versioner och uppdateringsnivåer

Den kumulativa klientuppdateringen KB5124008 gäller Windows 11 version 25H2 och 24H2. Den höjer systemen till OS-build 26200.9445 respektive 26100.9445. Microsoft anger att inga kända problem för närvarande är registrerade för paketet. Uppdateringen innehåller även tidigare kvalitetsfixar och fortsatt distribution av nya Secure Boot-certifikat.

För Windows Server 2025 är septemberpaketet KB5122871, OS-build 26100.33438. För Windows Server 2022 visar Microsofts septemberavbildningar det kumulativa paketet KB5122882, OS-build 20348.5622. Miljöer bör verifiera sin exakta edition, servicing channel och arkitektur i Microsofts Security Update Guide eller patchplattform, eftersom samma CVE kan ha olika paket för olika produkter.

Microsofts septemberbaslinje är särskilt viktig för Windows Server 2025 Datacenter: Azure Edition och enheter som använder hotpatch. September är en baslinjemånad, och vissa säkerhetsförändringar gäller komponenter som inte kan uppdateras utan omstart. Även hotpatch-anslutna enheter måste därför startas om för att slutföra installationen. Det gör detta till en planerad driftförändring, inte bara en bakgrundsuppdatering.

Windows Server 2022 har dessutom en separat WinRE-uppdatering, KB5127069, som kräver minst 250 MB ledigt utrymme i återställningspartitionen. Den är inte samma sak som den kumulativa OS-uppdateringen, men bör följas i samma förändringsärende så att återställningsmiljön inte lämnas efter.

Prioritera de aktivt utnyttjade bristerna först, följ med kritiska serverroller och avsluta varje våg med omstart och verifierad buildnivå.

Praktisk patchordning

  1. Akut – de två KEV-posterna. Identifiera alla stödda Windows-klienter och servrar som saknar septemberuppdateringen. Prioritera användarstationer, jump hosts, administrationsservrar och system där en initial kompromettering snabbt skulle kunna ge domän- eller plattformsåtkomst.
  2. Hög – kritiska nätverkstjänster. Testa och uppdatera RDP/RDS, domänkontrollanter, DNS, DHCP, SMB, Netlogon, RRAS, NFS, Failover Cluster och Message Queuing. Kontrollera vilka roller och portar som faktiskt är aktiva; oanvänd funktionalitet bör stängas av.
  3. Planerad – full baslinje och kompatibilitet. Distribuera till återstående stödda Windows 11- och Windows Server-system via ordinarie ringar, men vänta inte till nästa månad. Verifiera backup, klusterkapacitet, drivrutiner, säkerhetsagenter och verksamhetskritiska integrationer före bred utrullning.
  4. Genomför omstarten. Ett installerat paket som väntar på omstart kan lämna sårbar kod aktiv. Bekräfta efteråt OS-build, patchstatus, tjänstestatus och att senaste omstart genomförts.
  5. Följ incidenttecken. Eftersom två brister redan utnyttjas bör logggranskningen omfatta ovanliga processstarter med SYSTEM, oväntade ändringar i uppdateringsrelaterade kataloger, nya tjänster, schemalagda aktiviteter och andra tecken på privilegiehöjning. Detta är generell jaktvägledning; CISA och Microsoft har inte publicerat specifika indikatorer i de granskade källorna.

Tillfällig mitigering för organisationer som inte kan patcha omedelbart är att minska möjligheten till första intrång och lateral rörelse: isolera högriskklienter, begränsa lokala administratörer, använd applikationskontroll, skydda administrativa identiteter, separera managementnät och blockera onödiga inkommande tjänster. För de aktivt utnyttjade privilegiehöjningarna finns ingen dokumenterad workaround i de använda primärkällorna som motsvarar en installerad säkerhetsuppdatering.

Driftpåverkan och verifiering

Planera omstarter i kluster och på domänkontrollanter så att redundansen verkligen bär trafiken under underhållet. Flytta eller stoppa arbetslaster kontrollerat, patcha en nod i taget där arkitekturen stöder det och verifiera autentisering, DNS, DHCP, SMB, RDP och övervakning innan nästa våg. För Windows Server 2025 med hotpatch är omstartskravet denna månad uttryckligt; en normal hotpatchrutin utan reboot räcker inte.

På Windows 11 bör pilotringen även kontrollera Microsoft Teams, nya Outlook, skrivbordsinställningar och specialdrivrutiner. KB5124008 rättar flera problem från augustiupdateringarna på 24H2 och 25H2, bland annat startproblem för Teams och nya Outlook på ARM-enheter. Det är en stabilitetsvinst, men förändrar inte behovet av vanliga applikations- och drivrutinstester.

Dokumentera både lyckad installation och aktiv build. Säkerhetsdashboarden ska kunna skilja på nedladdat paket, installerat paket, väntande omstart och verifierat skydd. Det är särskilt viktigt när två aktivt utnyttjade brister kan vara en del av en längre angreppskedja.

LabOps IT:s bedömning

Septemberuppdateringen bör behandlas som en Akut Windows-insats för CVE-2026-81963 och CVE-2026-85880 och som Hög prioritet för de kritiska serverrollerna. De två KEV-posterna ger ett ovanligt tydligt besked: angripare använder redan vägarna till högre behörighet. Samtidigt gör mängden centrala nätverkstjänster att en alltför smal klientfokuserad utrullning lämnar stor risk kvar.

Den bästa ordningen är riskbaserad och mätbar: täck KEV först, därefter RDP, AD, DNS, DHCP, SMB och andra exponerade serverroller, och slutför sedan den breda baslinjen. Genomför omstart, verifiera buildnummer och följ upp undantag. Ett system är inte färdigpatchat förrän den nya koden faktiskt körs.

Källor