CVE-2026-96951: Windows Shell-kringgående av Mark of the Web utnyttjas – installera oktoberuppdateringen

Microsoft stängde den 13 oktober 2026, med de månatliga säkerhetsuppdateringarna, en sårbarhet i Windows Shell som redan används för angrepp. Sårbarheten har beteckningen CVE-2026-96951 och Microsoft bedömer den som ”Important” med CVSS 8.8. En angripare skickar en manipulerad fil via e-post eller snabbmeddelande; om offret öppnar den fungerar inte skyddet från Mark of the Web (MotW). Microsoft uppger att utnyttjande har identifierats, och den amerikanska myndigheten CISA lade samma dag till sårbarheten i sin katalog över utnyttjade sårbarheter (KEV). Uppdateringar finns tillgängliga för alla angivna Windows-versioner; Microsoft anger ingen workaround.

Det viktigaste i korthet

Berörda versioner och uppdateringar

Uppgifterna kommer från Microsofts Security Update Guide. Varje build under den angivna builden berörs.

För Windows 10 22H2 anger Security Update Guide build 10.0.19044.7807. Microsofts KB-sida listar däremot KB5126657 med build 19045.7807 för 22H2 och 19044.7807 för 21H2; tabellen följer KB-sidan. Windows 10 22H2 och Windows Server 2012 R2 visas i Security Update Guide endast som ESU-poster. Enheter utan Extended Security Updates får inte uppdateringen och förblir sårbara.

För Outlook.com anger Microsoft, utöver versionsnumret 20260925.100 och hänvisningen till Release Notes, inga ytterligare uppgifter.

Om uppdateringen är installerad visas med Get-HotFix lokalt eller för flera datorer:

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Om kommandot inte ger något resultat för en dator saknas uppdateringen där. Get-HotFix läser WMI-klassen Win32_QuickFixEngineering och visar endast uppdateringar som installerats via Component Based Servicing.

Vad som är känt om utnyttjandet

Microsoft beskriver i advisoryts FAQ ett angreppsscenario via e-post eller snabbmeddelande: Angriparen skickar en manipulerad fil till offret. Angriparen kan inte tvinga offret att öppna filen utan måste få personen att klicka på en länk eller öppna en bilaga. Följden är ett kringgående av Mark of the Web. Mark of the Web är den märkning som Windows lägger till filer från internet; enligt CrowdStrikes analys utlöser den bland annat skyddad vy i Office och SmartScreen-varningen för nedladdade program.

Microsoft klassificerar sårbarheten som utnyttjad och som inte offentligt känd före patchdagen. Enligt Tenable är det den tredje utnyttjade sårbarheten i Windows Shell i år, efter CVE-2026-21510 (februari) och CVE-2026-32202 (april).

Per den 14 oktober 2026 saknas offentliga uppgifter om angripare, kampanjer, mål, använda filtyper och indikatorer. CISA anger användning av ransomware-grupper som ”Unknown”.

Omedelbara åtgärder

1. Installera uppdateringen: installera den kumulativa oktoberuppdateringen från tabellen på alla Windows-klienter och -servrar och starta om. Microsoft kräver en omstart för samtliga poster. Klienter med åtkomst till e-post och chatt bör prioriteras, eftersom det beskrivna angreppsscenariot utgår från dem.

2. Kontrollera installationsstatus: använd Get-HotFix eller er egen uppdateringshantering för att verifiera att uppdateringen är installerad på alla enheter och åtgärda avvikelser.

3. Hantera system utan uppdatering: Windows 10 22H2 och Windows Server 2012 R2 utan ESU får inte uppdateringen. Ta med dessa enheter i ESU-programmet, uppgradera till en version som stöds eller koppla bort dem från e-post- och chattkommunikation.

4. Minska exponeringen: Eftersom Microsoft inte anger någon workaround återstår fram till uppdateringen endast att försvåra leveransen av manipulerade filer. Filtrering av bilagor i e-postgatewayen respektive i Exchange Online Protection och kontroll av länkar minskar antalet filer som överhuvudtaget når användaren. Användare bör informeras om att angrepp med manipulerade bilagor pågår.

Kontroll av kompromettering

Microsoft, CISA och de granskade analyserna anger per den 14 oktober 2026 inga indikatorer (filnamn, hashar, IP-adresser eller domäner). En riktad sökning efter denna sårbarhet är därför inte möjlig. CISA kräver av amerikanska federala myndigheter, utöver uppdateringen, en forensisk triage enligt riktlinjen BOD 26-04.

Uppdateringen stänger sårbarheten, men återställer inte redan exekverad skadlig programvara. Därför är följande lämpligt:

1. Meddelanden från endpoint-säkerhetslösningen (exempelvis Microsoft Defender for Endpoint) från de senaste veckorna bör kontrolleras för filer som startats från e-postbilagor, chattmeddelanden eller nedladdningar.

2. Loggar från e-postgateway och karantän bör kontrolleras för bilagor och länkar som användare har rapporterat eller frigett trots varning.

3. Isolera misstänkta enheter och säkra loggar före sanering, så att en forensisk utvärdering fortsatt är möjlig.

4. Följ advisoryt: Om Microsoft kompletterar advisoryt eller ett säkerhetsföretag publicerar indikatorer, upprepa sökningen med dessa.

Bedömning

Windows Shell ingår i varje Windows-installation; CrowdStrike räknar därför i praktiken hela Windows-basen till de berörda systemen. Angreppsscenariot riktar in sig på användaren: en bilaga eller länk via e-post eller chatt räcker om offret öppnar den. Mark of the Web är grunden för flera skyddsfunktioner i Windows och Office; ett kringgående tar bort varningar som användaren annars ser innan en fil öppnas. Ett meddelande från Nationellt cybersäkerhetscenter (NCSC) eller andra europeiska CERT:er om CVE-2026-96951 gick inte att hitta fram till den 14 oktober 2026.