Seks sårbarhetsutnyttelser i Windows på seks uker. Én av dem har en patch. Én har det ikke. Og sammen utgjør de en aktiv leveransekjede for løsepengevirus som Huntress bekreftet utnyttet i produksjonsmiljøer fra 10. april.
Mellom april og mai 2026 publiserte sikkerhetsforskeren Nightmare-Eclipse en koordinert serie teknikker for rettighetseskalering i Windows, omgåelse av Defender og omgåelse av BitLocker, laget for å kjedes sammen til utrullinger av løsepengevirus. Barracuda Networks kartla hele sekvensen 19. mai: Den første utnyttelsen (CVE-2026-33825, patchet i Patch Tuesday for mai) eskalerer en bruker uten rettigheter til NT AUTHORITY\SYSTEM via en TOCTOU-feil i Defenders oppdateringsprosess. En annen teknikk gjør Defender blind og hindrer at nye trusler oppdages – fortsatt bare delvis utbedret. En tredje omgår BitLocker på stjålne enheter. BleepingComputer og Help Net Security har fulgt aktiv utnyttelse gjennom hele mai.
Dette er til syvende og sist en historie om manglende minste privilegium. De mest eksponerte virksomhetene er de som har faste lokale administratorrettigheter og ingen uavhengig innsikt i sikkerhetsnivået. Kjeden starter med en bruker uten rettigheter – og faste administratorrettigheter er det som gjør eskalering til SYSTEM mulig.
Angrepskjeden IT-teamene står overfor
Det er viktig å forstå sekvensen, fordi hvert steg avhenger av det foregående. Dette er ikke seks uavhengige sårbarheter – det er en strukturert vei for rettighetseskalering og levering av løsepengevirus i Windows.
Steg 1: Rettighetseskalering via CVE-2026-33825
Den første utnyttelsen starter som en bruker uten rettigheter og eskalerer til NT AUTHORITY\SYSTEM via en TOCTOU-feil i Defenders oppdateringsprosess – nå patchet som CVE-2026-33825 i Patch Tuesday for mai 2026. På endepunkter som har fått patchen, er dette første steget blokkert. Det operative spørsmålet er hvilke endepunkter som faktisk har bekreftet rettelsen. Den samme utfordringen med patchstatus som vi beskrev for CVE-2026-41096, gjelder her: rullet ut er ikke det samme som installert.
Steg 2: Omgåelse av Defender
En annen teknikk slår ut Defenders evne til å oppdage nye trusler når angriperen har oppnådd eskalering. Dette steget er fortsatt bare delvis utbedret – det finnes ingen komplett patch fra Microsoft. Når Defender er blind, kan påfølgende nyttelaster kjøres uten å utløse standard deteksjoner.
Steg 3–6: Persistens, omgåelse av BitLocker og løsepengevirus
Med SYSTEM-rettigheter og deteksjonen satt ut av spill etablerer de resterende teknikkene persistens, omgår BitLocker på stjålne eller kompromitterte enheter og ruller ut løsepengevirus. Omgåelsen av BitLocker er særlig relevant for virksomheter med enheter som brukes eksternt eller ute i felten.
Hvorfor patching alene ikke er nok her
Utnyttelsen for rettighetseskalering har en patch. Å installere den blokkerer det første steget i kjeden. Men to strukturelle realiteter begrenser et svar som bare bygger på patching:
Omgåelsen av Defender har ingen komplett patch. Å vente på at Microsoft skal lukke dette steget, er ikke en farbar strategi for virksomheter som er aktive mål. Kjeden kan fortsatt kjøres i ethvert miljø der eskalering er mulig og Defender er det primære deteksjonslaget.
Patchvinduet står alltid åpent. Som Verizon Data Breach Investigations Report viser år etter år, er det i gapet mellom at en patch slippes og at utbedringen er bekreftet i hele IT-miljøet, at mesteparten av utnyttelsen skjer. CVE-2026-33825 kan patches – men ikke alle endepunkter i alle virksomheter har patchen bekreftet installert i dag. Når KI skriver angrepskoden, blir patchevinduet kortere.
Det strukturelle spørsmålet er hva som skjer når en angriper når et endepunkt i det vinduet – eller går etter et miljø der omgåelsen av Defender ikke har noen rettelse å installere. Det er der arkitekturen på endepunktene betyr mer enn patchtakten.
Hva CapaOne gjør – og ikke gjør
CapaOne patcher ikke sårbarheter i Windows-operativsystemet – Microsoft distribuerer disse rettelsene via Windows Update, WSUS, Intune og Autopatch. For virksomheter som bruker Microsoft Intune, tilfører CapaOne de strukturelle kontrollene og den innsikten i sikkerhetsnivået som Intune ikke har innebygd. CapaOne fungerer også helt uten Intune. Mot akkurat denne angrepskjeden er det tre funksjoner i CapaOne som betyr noe – og de møter angrepet på ulike punkter i eskaleringssekvensen.
Privilege Manager: Fjerner grunnlaget for eskalering
Privilege Manager fjerner faste lokale administratorrettigheter og erstatter dem med policybasert, midlertidig heving av rettigheter (just-in-time) via Entra ID-grupper. Steget for rettighetseskalering starter som en bruker uten rettigheter og eskalerer til SYSTEM via en TOCTOU-feil i Defenders oppdateringsprosess. Den eskaleringsveien forutsetter at angriperen har en prosess eller kontekst med tilgang til Defenders oppdateringsmekanisme.
Den mest effektive beskyttelsen mot utnyttelser for rettighetseskalering i Windows er å fjerne de faste lokale administratorrettighetene eskaleringen er avhengig av. Privilege Manager håndhever minste privilegium som standard – og erstatter administratortilgang som alltid er på, med tidsbegrenset, policystyrt heving av rettigheter. Uten faste lokale administratorrettigheter blir TOCTOU-feilen strukturelt vanskeligere å nå.
Dette betyr mest for omgåelsen av Defender: Siden det steget ikke har noen patch, er Privilege Manager ikke et kompenserende tiltak som venter på en rettelse. Det er det primære forsvaret som finnes i dag mot eskaleringen som gjør omgåelsen mulig.
Security Monitor: Uavhengig innsikt når Defender er målet
Når aktørene bak løsepengeviruset slår av Defender, mister virksomheten den operative dokumentasjonen som trengs for raskt å fastslå omfanget av eksponeringen. Security Monitor gir uavhengig innsikt i sikkerhetsnivået på endepunktene – CVE-eksponering, konfigurasjonsavvik og enhetsstatus – og fungerer utenfor Defenders deteksjonslag. Den uavhengigheten er ikke bare kjekt å ha når Defender er angrepsmålet. Det er det eneste pålitelige signalet om sikkerhetsnivået som finnes.
Security Monitor bekrefter også hvilke endepunkter som har CVE-2026-33825 installert – dokumentasjon på enhetsnivå i stedet for en fremdriftsindikator for utrullingen. Den forskjellen betyr noe når du må vite omfanget av eksponeringen innen en time, ikke etter at du manuelt har sammenholdt oppdateringslogger.
Application Manager: Lukker det sekundære eksponeringslaget
Når angriperen har oppnådd tilgang på SYSTEM-nivå og Defender er blind, er utdaterte tredjepartsprogrammer den enkleste veien for levering av nyttelast og lateral bevegelse. Application Manager holder tredjepartsprogrammene oppdatert automatisk – og reduserer antallet veier som kan utnyttes etter den første eskaleringen.
Dette bør du gjøre nå
Kjeden av utnyttelser for rettighetseskalering i Windows er aktiv. Her bør du sette inn innsatsen:
- Bekreft patchstatus for CVE-2026-33825 i Security Monitor. Filtrer på tvers av IT-miljøet etter endepunkter der dette første eskaleringssteget fortsatt er upatchet. Utrullingsstatus er ikke nok – du trenger bekreftelse på enhetsnivå.
- Gå gjennom faste lokale administratorrettigheter i Privilege Manager. Hvert endepunkt med faste administratorrettigheter er et mulig utgangspunkt for rettighetseskalering til SYSTEM. Privilege Manager viser hvilke endepunkter som har den eksponeringen, og fjerner den uten å skape ekstra friksjon for brukerstøtten.
- Vurder hvor avhengig du er av Defender. Teknikken for omgåelse av Defender har ingen komplett patch. Security Monitor gir den uavhengige innsikten i sikkerhetsnivå og konfigurasjon som kompenserer for en blindet Defender – bekreft at den er aktiv og viser signaler om sikkerhetsnivået på endepunktene med høyest risiko.
- Kartlegg eksponeringen etter eskalering i Application Manager. Når angriperen har fått tilgang på SYSTEM-nivå og Defender er blind, bruker denne angrepskjeden utdaterte tredjepartsprogrammer som den primære veien for levering av nyttelast. Sjekk hvilke endepunkter som kjører utdaterte nettlesere, dokumentvisere og kommunikasjonsverktøy – dette er nettopp de programtypene Huntress identifiserte som sekundære vektorer i bekreftede utrullinger av løsepengevirus.
Virksomhetene som begrenser eksponeringen for angrepskjeder med løsepengevirus, er de som har fjernet rettighetsgrunnlaget eskaleringen er avhengig av – før en patch finnes, ikke etterpå. Se hvordan Privilege Manager endrer angrepsflaten aktørene bak løsepengevirus har tilgjengelig – eller start en gratis prøveperiode og finn ut om det fortsatt finnes faste lokale administratorrettigheter i IT-miljøet ditt.
