CVE-2026-96951: Omgåelse av Mark of the Web i Windows Shell utnyttes – installer oktoberoppdateringen

Microsoft lukket 13. oktober 2026, med de månedlige sikkerhetsoppdateringene, en sårbarhet i Windows Shell som allerede brukes i angrep. Sårbarheten har identifikatoren CVE-2026-96951, og Microsoft vurderer den som «Important» med CVSS 8.8. En angriper sender en preparert fil via e-post eller direktemelding; hvis offeret åpner den, virker ikke beskyttelsen fra Mark of the Web (MotW). Microsoft oppgir at utnyttelse er oppdaget, og den amerikanske myndigheten CISA tok samme dag sårbarheten inn i sin katalog over utnyttede sårbarheter (KEV). Oppdateringer er tilgjengelige for alle oppførte Windows-versjoner; Microsoft oppgir ingen midlertidig løsning.

Det viktigste kort fortalt

Berørte versjoner og oppdateringer

Opplysningene stammer fra Microsofts Security Update Guide. Hver build under den oppgitte builden er berørt.

For Windows 10 22H2 oppgir Security Update Guide build 10.0.19044.7807. Microsofts KB-side oppfører derimot KB5126657 med build 19045.7807 for 22H2 og 19044.7807 for 21H2; tabellen følger KB-siden. Windows 10 22H2 og Windows Server 2012 R2 vises bare som ESU-oppføringer i Security Update Guide. Enheter uten Extended Security Updates får ikke oppdateringen og forblir sårbare.

For Outlook.com oppgir Microsoft, utover versjonsnummeret 20260925.100 og henvisningen til Release Notes, ingen ytterligere opplysninger.

Om oppdateringen er installert, viser Get-HotFix lokalt eller for flere datamaskiner:

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Hvis kommandoen ikke gir noe resultat for en datamaskin, mangler oppdateringen der. Get-HotFix leser WMI-klassen Win32_QuickFixEngineering og viser bare oppdateringer som er installert via Component Based Servicing.

Hva som er kjent om utnyttelsen

Microsoft beskriver i FAQ-en til advisoryet et angrepsscenario via e-post eller direktemelding: Angriperen sender en preparert fil til offeret. Vedkommende kan ikke tvinge offeret til å åpne filen, og må få det til å klikke på en lenke eller åpne et vedlegg. Følgen er en omgåelse av Mark of the Web. Mark of the Web er merkingen Windows legger til filer fra internett; ifølge analysen fra CrowdStrike utløser den blant annet beskyttet visning i Office og SmartScreen-advarselen ved nedlastede programmer.

Microsoft klassifiserer sårbarheten som utnyttet og som ikke offentlig kjent før patchdagen. Ifølge Tenable er dette den tredje utnyttede sårbarheten i Windows Shell i år, etter CVE-2026-21510 (februar) og CVE-2026-32202 (april).

Per 14. oktober 2026 mangler det offentlige opplysninger om angripere, kampanjer, mål, brukte filtyper og indikatorer. CISA oppgir bruk av løsepengevirusgrupper som «Unknown».

Umiddelbare tiltak

1. Installer oppdateringen: Installer den kumulative oktoberoppdateringen fra tabellen på alle Windows-klienter og -servere, og start dem på nytt. Microsoft krever omstart for alle oppføringene. Klienter med e-post- og chattilgang bør prioriteres, fordi det beskrevne angrepsscenarioet starter der.

2. Kontroller installasjonsstatus: Bruk Get-HotFix eller egen oppdateringsadministrasjon for å dokumentere at oppdateringen er installert på alle enheter, og oppdater avvikere.

3. Håndter systemer uten oppdatering: Windows 10 22H2 og Windows Server 2012 R2 uten ESU får ikke oppdateringen. Ta disse enhetene inn i ESU-programmet, oppgrader dem til en støttet versjon eller koble dem fra e-post- og chattrafikk.

4. Reduser eksponeringen: Siden Microsoft ikke oppgir noen midlertidig løsning, er det bare mulig å gjøre levering av preparerte filer vanskeligere frem til oppdateringen er installert. Filtrering av vedlegg ved e-postgatewayen eller i Exchange Online Protection og kontroll av lenker reduserer antallet filer som i det hele tatt når brukeren. Brukerne bør informeres om at angrep med preparerte vedlegg pågår.

Kontroll for kompromittering

Microsoft, CISA og de gjennomgåtte analysene oppgir per 14. oktober 2026 ingen indikatorer (filnavn, hasher, IP-adresser eller domener). En målrettet søkning etter denne sårbarheten er derfor ikke mulig. CISA krever at føderale amerikanske myndigheter, i tillegg til oppdateringen, gjennomfører en forensisk triage i henhold til retningslinjene i BOD 26-04.

Oppdateringen lukker sårbarheten, men reverserer ikke skadevare som allerede er kjørt. Følgende er derfor fornuftig:

1. Varsler fra endpoint-sikkerhetsløsningen (for eksempel Microsoft Defender for Endpoint) fra de siste ukene bør kontrolleres for filer som ble startet fra e-postvedlegg, chatmeldinger eller nedlastinger.

2. Logger fra e-postgateway og karantene bør kontrolleres for vedlegg og lenker som brukere har rapportert eller frigitt til tross for advarsel.

3. Isoler mistenkelige enheter, og sikre logger før opprydding, slik at forensisk analyse fortsatt er mulig.

4. Følg advisoryet: Hvis Microsoft supplerer advisoryet eller et sikkerhetsselskap publiserer indikatorer, gjenta søket med disse.

Vurdering

Windows Shell er en del av enhver Windows-installasjon; CrowdStrike regner derfor praktisk talt hele Windows-basen blant de berørte systemene. Angrepsscenarioet starter hos brukeren: Et vedlegg eller en lenke via e-post eller chat er nok dersom offeret åpner det. Mark of the Web er grunnlaget for flere beskyttelsesfunksjoner i Windows og Office; en omgåelse fjerner advarsler som brukeren ellers ser før en fil åpnes. En melding fra Nasjonalt cybersikkerhetssenter (NCSC) eller andre europeiske CERT-er om CVE-2026-96951 var ikke mulig å finne innen 14. oktober 2026.