Microsofts månedlige opgørelse af sikkerhedshuller i deres produkter er landet. Her er den gennemgang af de mest graverende fejl og sårbarheder i denne Patch Tuesday, du som it-professionel bør holde øje med.
Denne måned byder på hele fem zero-days sårbarheder, som der allerede nu udnyttes.
I løbet af ganske kort tid er der altså opdaget fem unikke og friske sårbarheder i Microsoft-universet, der nu første gang bliver udnyttet af hackere.
Derudover er der yderligere to, der har været offentligt kendt uden en tilgængelig rettelse.
Af de 72 rettede sårbarheder vurderes seks som "kritiske", herunder fem Remote Code-sårbarheder. Microsoft har samtidig listet en række alvorlige Azure-fejl, herunder én med en maksimal CVSS-score på 10 ud af 10.
De fem aktivt udnyttede sårbarheder er teknisk set klassificeret som "vigtige" og ikke "kritiske", men bør ifølge flere eksperter stå øverst på patch-listen i virksomhedernes næste change window. Alle fem rammer Windows 10 og 11 samt Windows Server-versioner siden 2019, skriver det britiske techmedie The Register.
Fem fejl udnyttes allerede i praksis
- CVE-2025-30397 – Scripting Engine Memory Corruption:
Gør det muligt at narre Microsofts scripting engine via et typeforvekslingsangreb (type confusion), som giver en uautoriseret angriber mulighed for at eksekvere vilkårlig kode over netværket.
- CVE-2025-30400 – DWM Core Library Elevation of Privilege:
Tillader privilegieeskalering via en "use after free"-fejl i Windows Desktop Window Manager. Windows Server 2025 er også sårbar over for denne fejl.
- CVE-2025-32701 – CLFS Driver Elevation of Privilege:
Endnu en use after free-sårbarhed, denne gang i Common Log File System Driver, som kan give angriberen SYSTEM-rettigheder.
- CVE-2025-32706 – CLFS Driver Input Validation:
Forkert inputvalidering i samme driverkomponent åbner for samme type angreb med samme konsekvens.
- CVE-2025-32709 – WinSock Driver Elevation of Privilege:
Fejl i Windows Ancillary Function Driver for WinSock, som ved udnyttelse giver angriberen fulde administratorrettigheder
Samlet set har de fem sårbarheder CVSS-score på mellem 7,5 og 7,8, hvilket placerer dem i den høje ende af skalaen.
Azure med i pakken – herunder en CVSS 10.0
Udover Windows-rettelserne har Microsoft også inkluderet tre Azure-relaterede sårbarheder i månedens advisering – selvom de allerede er blevet rettet i produktionen. Det sker ifølge Microsoft "for at skabe yderligere gennemsigtighed".
De tre fejl er:
- CVE-2025-29813 – Azure DevOps Authentication Bypass:
Et kritisk angreb med maksimal alvorlighed (CVSS 10.0), der tillader uautoriseret adgang via fejl i autentificeringen.
- CVE-2025-29827 – Azure Automation Elevation of Privilege:
Giver mulighed for lokal privilegieeskalering i Azure Automation-tjenesten.
- CVE-2025-29972 – Azure Storage Spoofing:
Muliggør spoofing-angreb mod Azure Storage.
Selv om de ikke kræver handling fra brugere nu, bør it-afdelinger være opmærksomme på eksistensen af fejlene og sikre sig, at deres systemer allerede er dækket af Microsofts rettelser.
