Microsoft ga ut den st\u00f8rste sikkerhetsoppdateringen i selskapets historie 9. juni 2026. Totalt 206 s\u00e5rbarheter ble tettet i juni Patch Tuesday, noe som bryter alle rekorder siden Microsoft lanserte programmet i oktober 2003. Blant feilene finner vi \u00e9n s\u00e5rbarhet med maksimal alvorlighetsgrad CVSS 10.0, ni kritiske feil og tre offentliggjorte nulldager som enn\u00e5 ikke er aktivt utnyttet. For norske IT-avdelinger som drifter Windows, Azure og Microsoft 365-infrastruktur, er denne oppdateringsrunden en av de viktigste i historien.<\/p>\n\n\n\n
I tillegg til de 206 Microsoft-spesifikke CVE-ene ble 362 tredjeparts CVE-er republisert i samme oppdatering, pluss at Microsoft samme m\u00e5ned adresserte over 360 nettlesers\u00e5rbarheter i Chromium-baserte produkter. Samlet sett representerer juni 2026 et ekstraordin\u00e6rt omfang av patcher som krever umiddelbar oppmerksomhet i alle organisasjoner som bruker Microsoft-produkter.<\/p>\n\n\n\n
Siden Microsoft innf\u00f8rte Patch Tuesday i oktober 2003 har selskapet gitt ut m\u00e5nedlige sikkerhetsoppdateringer den andre tirsdagen i m\u00e5neden. I l\u00f8pet av over to ti\u00e5r har volumet \u00f8kt jevnlig, men aldri har en enkelt utgivelse overskredet 206 Microsoft-egne CVE-er. Juni 2026 endret det.<\/p>\n\n\n\n
For \u00e5 sette tallene i perspektiv: en gjennomsnittlig Patch Tuesday i 2024 inneholdt mellom 60 og 90 CVE-er. En “stor” m\u00e5ned, som april 2024 med 149 CVE-er, ble sett p\u00e5 som uvanlig. Juni 2026 er mer enn dobbelt s\u00e5 stor som de fleste normale m\u00e5neder og 38 prosent st\u00f8rre enn tidligere rekordm\u00e5neder. If\u00f8lge CyberScoop<\/a> beskrives utgivelsen som \u00abthe vendor’s largest monthly batch of security patches on record\u00bb av uavhengige sikkerhetsforskere.<\/p>\n\n\n\n Oppdateringsrunden dekker et bredt spekter av Microsoft-produkter: Windows-kjernen, HTTP.sys, DHCP-klienten, NTLM, BitLocker, Winlogon, Remote Desktop Client, Microsoft Office SharePoint, Exchange Online, Azure-tjenester, Visual Studio Code og en rekke grafikkkomponenter i Windows. Det betyr at praktisk talt alle segmenter av en moderne Microsoft-driftsmodell er ber\u00f8rt, fra skyinfrastruktur til kontorapplikasjoner og operativsystem.<\/p>\n\n\n\n Sikkerhetsselskapet Rapid7 p\u00e5peker i sin analyse at \u00abMicrosoft is not aware of exploitation in the wild for any of these vulnerabilities\u00bb ved utgivelstidspunktet 9. juni 2026. Det er en viktig distinksjon: til tross for rekordvolumet er ingen av de 206 feilene bekreftet aktivt utnyttet per publiseringsdato. Det gir et kortvarig handlingsrom, men 15 av s\u00e5rbarhetene b\u00e6rer klassifiseringen \u00abExploitation More Likely\u00bb, noe som betyr at angripere forventes \u00e5 utvikle og ta i bruk utnyttelseskode raskt.<\/p>\n\n\n\n Den mest alvorlige s\u00e5rbarheten i juni 2026-utgivelsen er CVE-2026-48567, som rammer Azure HorizonDB og har f\u00e5tt maksimal CVSS-poengsum p\u00e5 10.0. Feilen klassifiseres som en rettighetseleveringss\u00e5rbarhet (elevation of privilege<\/em>), noe som inneb\u00e6rer at en angriper kan eskalere fra begrenset tilgang til full kontroll over de ber\u00f8rte databaseressursene i Azure.<\/p>\n\n\n\n CVSS 10.0 er den h\u00f8yeste mulige score og tildeles kun s\u00e5rbarheter som kombinerer lav angrepskompleksitet, ingen krav til autentisering og full p\u00e5virkning p\u00e5 konfidensialitet, integritet og tilgjengelighet. For norske bedrifter og offentlige etater som benytter Azure som skyplattform, er dette den mest presserende feilen i denne oppdateringssyklusen.<\/p>\n\n\n\n Azure HorizonDB er Microsofts distribuerte databasetjeneste designet for sanntidsapplikasjoner med lav latens. Tjenesten brukes i alt fra finansielle transaksjonsplattformer til nasjonale helseregistre og offentlig infrastruktur. En vellykket utnyttelse av CVE-2026-48567 kan gi angripere rettighetene som kreves for \u00e5 lese, modifisere eller slette sensitive data lagret i skyen, uten at ordin\u00e6r autentisering er n\u00f8dvendig.<\/p>\n\n\n\n Microsoft ga ikke ut tekniske detaljer om den eksakte utnyttelsesmekanismen ved publisering av patchen, noe som er standard praksis for \u00e5 forsinke utvikling av fungerende angrepskode. Splashtop sin sikkerhetsanalyse bekrefter at CVE-2026-48567 er \u00abthe highest-scoring vulnerability in the release\u00bb og identifiserer den som \u00f8verste prioritet for alle Azure-avhengige virksomheter.<\/p>\n\n\n\n Den nest alvorligste feilen, CVE-2026-45657, rammer selve Windows-kjernen og b\u00e6rer CVSS-poengsummen 9.8. Dette er en kritisk s\u00e5rbarhet for ekstern kj\u00f8ring av kode (remote code execution<\/em>, RCE), noe som potensielt lar angripere kj\u00f8re vilk\u00e5rlig kode p\u00e5 s\u00e5rbare Windows-systemer uten fysisk tilgang.<\/p>\n\n\n\n Kjerne-RCE-s\u00e5rbarheter regnes blant de farligste kategoriene fordi de opererer p\u00e5 det laveste laget av operativsystemet. Kode kj\u00f8rt p\u00e5 kjerneniv\u00e5 omg\u00e5r i praksis alle applikasjonslag av sikkerhetskontroller. CrowdStrike fremhever kjerne-RCE-feilen som en av de viktigste kandidatene for rask utnyttelse dersom en trusselakt\u00f8r lykkes med \u00e5 finne en p\u00e5litelig angrepsstigg.<\/p>\n\n\n\n Kombinasjonen av CVE-2026-48567 (Azure, CVSS 10.0) og CVE-2026-45657 (Windows-kjerne, CVSS 9.8) gj\u00f8r juni 2026 til en spesielt risikofylt m\u00e5ned: angripere som lykkes med \u00e5 utnytte kjernefunksjonen kan bruke rettighetselevering i Azure HorizonDB som et sekund\u00e6rangrep for \u00e5 flytte lateralt mellom sky- og on-premises-systemer i hybride milj\u00f8er, som er vanlig i norsk offentlig sektor og finans.<\/p>\n\n\n\n CVE-2026-48579 rammer Microsoft Exchange Online og har CVSS 9.1. Feilen klassifiseres som en informasjonslekkasjes\u00e5rbarhet (information disclosure<\/em>) med kritisk alvorlighetsgrad. Exchange Online er e-posttjenesten for Microsoft 365 og brukes av et stort antall norske bedrifter og offentlige etater som prim\u00e6r kommunikasjonsplattform.<\/p>\n\n\n\n En informasjonslekkasje i Exchange Online kan gi angripere tilgang til e-postinnhold, kalenderobjekter, kontaktlister og vedlegg uten at kontoinnehaveren er klar over det. I norsk sammenheng er dette spesielt alvorlig for organisasjoner underlagt personvernforordningen (GDPR), der uautorisert tilgang til e-post kan utl\u00f8se meldepliktige hendelser overfor Datatilsynet innen 72 timer.<\/p>\n\n\n\n Microsoft SharePoint er en del av den samme oppdateringspakken og b\u00e6rer CVE-2026-48562, en spoofing-s\u00e5rbarhet med klassifiseringen \u00abExploitation Less Likely\u00bb. Selv om risikoen for SharePoint isolert sett er lavere, \u00f8ker kombinasjonen av Exchange- og SharePoint-feil risikoen for angripere som \u00f8nsker \u00e5 kartlegge og eksfiltrere intern dokumentasjon og kommunikasjon i en samlet operasjon.<\/p>\n\n\n\n Tre kritiske RCE-s\u00e5rbarheter rammer Microsoft Outlook og Word: CVE-2026-45456, CVE-2026-45458 og CVE-2026-47635. Alle tre har CVSS 8.4 og deler \u00e9n s\u00e6rlig bekymringsfull egenskap: angrepsveien er forh\u00e5ndsvisningsruten i Outlook.<\/strong><\/p>\n\n\n\n CrowdStrikes sikkerhetsanalyseteam sl\u00e5r fast i sin offisielle Patch Tuesday-gjennomgang: \u00abThe Preview Pane is an attack vector for all three vulnerabilities.\u00bb Det betyr at en bruker ikke trenger \u00e5 \u00e5pne et ondsinnet vedlegg eller klikke p\u00e5 en lenke. \u00c5 forh\u00e5ndsvise en spesiallagd e-post i Outlook er tilstrekkelig til at angrepet kan utl\u00f8ses og ekstern kode kj\u00f8res p\u00e5 offerets maskin.<\/p>\n\n\n\n Preview-rute-angrep er historisk sv\u00e6rt effektive i phishing-kampanjer fordi de omg\u00e5r brukerens naturlige skepsis til \u00e5 \u00e5pne ukjente filer. Angripere trenger kun \u00e5 sende en manipulert e-post til et m\u00e5l. Dersom Microsoft Outlook-klienten viser forh\u00e5ndsvisning som standard, noe de fleste bedriftsinstallasjoner gj\u00f8r, kan koden kj\u00f8res automatisk.<\/p>\n\n\n\n For norske organisasjoner som allerede opplever en 14 ganger \u00f8kning i AI-drevet phishing mot Norden i 2026, er Outlook-s\u00e5rbarhetene en kritisk risikofaktor. En angriper kan kombinere sofistikert sosial manipulering med teknisk utnyttelse av CVE-2026-45456 for \u00e5 kompromittere en ansatts arbeidsmaskin uten brukerinteraksjon utover normal e-postbruk.<\/p>\n\n\n\n I tillegg til Outlook- og Word-feilene inneholder juni-patchen fire kritiske RCE-s\u00e5rbarheter i Microsoft Office generelt: CVE-2026-45461, CVE-2026-45463, CVE-2026-45472 og CVE-2026-45474. Alle b\u00e6rer CVSS 8.4 og klassifiseres som kritiske. En femte feil, CVE-2026-45460, er en informasjonslekkasjes\u00e5rbarhet med CVSS 4.7 i Office.<\/p>\n\n\n\n Samlet betyr dette at minst syv kritiske RCE-feil rammer Microsoft 365-produktivitetspakken i \u00e9n enkelt oppdateringssyklus. For norske IT-avdelinger med Windows-fl\u00e5ter der Microsoft Office er standardinstallasjon p\u00e5 alle arbeidsmaskiner, representerer dette en ekstremt bred angrepsflate.<\/p>\n\n\n\n Kombinasjonen av Office-RCE og Outlook Preview-ruteangrep gj\u00f8r e-postbaserte angrepskjeder spesielt attraktive for avanserte trusselakt\u00f8rer. En rekke norske virksomheter, inkludert kommuner, sykehus og finansinstitusjoner, drifter Microsoft 365 som eneste produktivitetsplattform. Alle disse er direkte ber\u00f8rt av juni 2026-patchene.<\/p>\n\n\n\n Microsoft klassifiserer tre av s\u00e5rbarhetene i juni 2026 som offentliggjorte nulldager fordi informasjon om dem ble offentlig kjent f\u00f8r patcher var tilgjengelige. Ingen av de tre er bekreftet aktivt utnyttet per publiseringsdato, men alle tre b\u00e6rer klassifiseringen \u00abExploitation More Likely\u00bb, noe som betyr at angripere antas \u00e5 bruke dem aktivt i l\u00f8pet av dager til uker.<\/p>\n\n\n\n CVE-2026-45586 rammer Windows Collaborative Translation Framework Monitor (CTFMON), en komponent som h\u00e5ndterer inndatametoder og teksttjenester i Windows. S\u00e5rbarheten er en rettighetseleveringsfeil der en angriper med normal brukertilgang kan eskalere til SYSTEM-niv\u00e5, det h\u00f8yeste privilegieniv\u00e5et i Windows. En vellykket utnyttelse gir full kontroll over operativsystemet uten at administratorpassord er n\u00f8dvendig.<\/p>\n\n\n\n CVE-2026-49160 er en tjenestenektangrep-s\u00e5rbarhet (denial of service<\/em>, DoS) i HTTP.sys, Windows’ kjernekomponent for HTTP-protokollbehandling. Malwarebytes beskriver angrepsteknikken som en \u00abHTTP\/2 Bomb\u00bb, der en angriper sender spesiallagde HTTP\/2-foresp\u00f8rsler som for\u00e5rsaker ressursutmattelse p\u00e5 webserveren. Store Windows-baserte webservere og API-gateways er s\u00e6rlig utsatt. For norske offentlige tjenester og finansplattformer som drifter IIS-servere, kan et vellykket angrep f\u00f8re til tjenestestans.<\/p>\n\n\n\n CVE-2026-50507 er en sikkerhetsomg\u00e5else i Windows BitLocker, Microsofts innebygde diskkrypteringsl\u00f8sning. Malwarebytes presiserer i sin analyse at feilen krever at angriperen har fysisk tilgang til enheten: \u00aban unauthorized attacker to bypass a security feature with a physical attack\u00bb. BitLocker-s\u00e5rbarheten er dermed prim\u00e6rt relevant for b\u00e6rbare datamaskiner og enheter som kan bli stj\u00e5let. CVSS 6.8 reflekterer det reduserte risikoniv\u00e5et sammenliknet med fjernangrepbare feil, men for norske offentlige tjenestemenn og reisende ledere med sensitiv data p\u00e5 b\u00e6rbare maskiner, er dette likevel en alvorlig s\u00e5rbarhet.<\/p>\n\n\n\nCVE-2026-48567: Maksimal CVSS 10.0 i Azure HorizonDB<\/h2>\n\n\n\n
Windows-kjernen: CVE-2026-45657 med CVSS 9.8 og ekstern kj\u00f8rekode<\/h2>\n\n\n\n
Exchange Online og SharePoint: E-postinfrastruktur under press<\/h2>\n\n\n\n
Outlook og Word: Preview-ruten som angrepsvei<\/h2>\n\n\n\n
Microsoft Office: Fire kritiske RCE-feil i kontorpakken<\/h2>\n\n\n\n
De tre offentliggjorte nulldagene forklart<\/h2>\n\n\n\n
CVE-2026-45586: Rettighetselevering i Windows CTFMON (CVSS 7.8)<\/h3>\n\n\n\n
CVE-2026-49160: HTTP\/2 Bomb-angrep mot HTTP.sys (CVSS 7.5)<\/h3>\n\n\n\n
CVE-2026-50507: BitLocker-bypass krever fysisk tilgang (CVSS 6.8)<\/h3>\n\n\n\n