CISA-fristen i Known Exploited Vulnerabilities-katalogen for CVE-2026-32202 utløper i dag – 12. mai 2026. Amerikanske føderale etater må patche innen dagens slutt. Men CISA KEV-frister er også et pålitelig signal for alle IT-team i privat sektor: Denne sårbarheten er aktiv, og angripere bruker den allerede. Feilen er en NTLM-hashlekkasje som ikke krever et eneste klikk. Brukeren åpner bare en mappe som inneholder en ondsinnet LNK-fil – ingen interaksjon, ingen advarsel. Windows sender automatisk brukerens Net-NTLMv2-hash til en SMB-server som angriperen kontrollerer. APT28, den russiske statsstøttede gruppen, utnytter sårbarheten aktivt mot mål i EU og Ukraina, ifølge en analyse publisert av Akamai. Historikken gjør problemet større. Microsofts patch fra februar 2026 for den nært beslektede CVE-2026-21510 viste seg å være ufullstendig. CVE-2026-32202 er en videreføring av den samme angrepsflaten. Virksomheter som tror de patchet dette i februar, har nesten helt sikkert ikke gjort det. Denne artikkelen forklarer angrepsveien og viser hvordan CapaOne-plattformen for endepunktadministrasjon identifiserer nøyaktig hvilke endepunkter i enhetsparken din som fortsatt mangler den kritiske aprilpatchen – og hvordan Privilege Manager begrenser skadeomfanget hvis en hash blir fanget opp.
Hva angrepet faktisk gjør – og hvorfor det overlever delvise patcher
NTLM-hash-relay er ingen ny teknikk. Det som gjør CVE-2026-32202 bemerkelsesverdig, er leveringsmekanismen: en ondsinnet Windows-snarvei (.LNK) plassert i en mappe. I det øyeblikket Filutforsker i Windows viser mappen – uten at noen dobbeltklikker – forsøker operativsystemet å slå opp ressurser som LNK-filen refererer til. Dette oppslaget utløser en utgående SMB-forespørsel som tar med brukerens Net-NTLMv2-hash til en ekstern server. Derfra fanger angriperen opp hashen og bruker den i et relay-angrep mot interne tjenester. Webapplikasjoner, filområder og interne API-er som godtar NTLM-autentisering, blir tilgjengelige uten at et eneste passord knekkes. Det samme mønsteret, der det er nok at noe vises på skjermen, gjorde leseruten i Outlook til en angrepsvektor for en sårbarhet i Word i mai 2026. Februarpatchen for CVE-2026-21510 blokkerte én vektor. Akamais forskerteam identifiserte den ufullstendige rettelsen og offentliggjorde CVE-2026-32202 som en omgåelse. Microsoft slapp den korrigerende patchen i april 2026. Virksomheter som kjørte Patch Tuesday-syklusen i februar og antok at NTLM-hash-relay var dekket, tar feil – det er aprilpatchen som teller. ENISA Threat Landscape-rapporten peker konsekvent på tyveri av legitimasjon via relay-angrep som en av de mest brukte metodene for å skaffe seg første tilgang hos europeiske virksomheter. CVE-2026-32202 er et skoleeksempel på den kategorien.
Slik identifiserer CapaOne eksponeringen i hele enhetsparken
Det første operative spørsmålet når en kritisk CVE dukker opp, er ikke teoretisk – det er: Hvor mange av endepunktene våre mangler denne patchen akkurat nå? Uten en samlet oversikt henter IT-team rapporter fra flere verktøy, kryssjekker patchlogger og bygger regneark. Den prosessen tar timer. Under aktiv utnyttelse teller timene – og etter hvert som KI-støttet utvikling av angrepskode forkorter patchevinduet, teller de enda mer. Security Monitor i CapaOne gir en kontinuerlig oppdatert, CVE-basert oversikt over sårbarheter på hvert administrerte endepunkt. Så snart aprilpatchen er indeksert, kartlegger Security Monitor hvilke enheter som har fått den, og hvilke som fortsatt er eksponert. Du ser resultatene i én prioritert kø – filtrert på alvorlighetsgrad, enhetsgruppe, lokasjon eller forretningsenhet. Relevante felter i CapaOnes sårbarhetsdashbord er blant annet installert Windows-versjon per enhet, datoen for den siste kumulative oppdateringen og om den spesifikke KB-artikkelen knyttet til CVE-2026-32202 er til stede. Ingen manuell kryssjekking. Ingen regneark. For virksomheter med flere lokasjoner eller forretningsenheter kan IT-administratorer filtrere på OS-versjon eller tagg og se om problemet er konsentrert på en bestemt lokasjon eller i en bestemt enhetsgruppe.
Slik begrenser Privilege Manager skadeomfanget
Målet er å patche alle endepunkter før CISA-fristen. Det er sjelden virkeligheten i store, distribuerte enhetsparker. Enheter er frakoblet. Brukere er på reise. Det finnes administrerte unntak. En liten andel av endepunktene vil gå glipp av patchvinduet. Det er her Privilege Manager gir en meningsfull sekundær kontroll. CVE-2026-32202 bruker NTLM-hash-relay til å autentisere seg mot interne tjenester. Skaden avhenger av hva den legitimasjonen gir tilgang til. Kontoer med faste lokale administratorrettigheter gir angripere langt mer verdifulle mål – lateral bevegelse blir enklere, persistensmekanismene blir bredere, og rettighetseskalering blir triviell. CapaOnes Privilege Manager håndhever midlertidig heving av rettigheter (just-in-time) – ingen brukere har faste lokale administratorrettigheter som standard. Hevede rettigheter gis etter policy, avgrenses til én bestemt kjørbar fil, er tidsbegrenset og logges fullstendig. Hvis en hash fra en standard brukerkonto fanges opp og videresendes, opererer angriperen med vanlige brukerrettigheter. Det gjør ikke et kompromiss ufarlig, men det reduserer de tilgjengelige angrepsveiene betydelig. Kombinasjonen – prioritering av patcher fra Security Monitor og begrenset skadeomfang fra Privilege Manager – er det operative svaret som er i tråd med ENISAs tilnærming med forsvar i dybden mot angrep basert på legitimasjon.
NIS2-rapportering: Fra utbedring til revisjonsdokumentasjon
For virksomheter i EU som omfattes av NIS2, er CVE-2026-32202 ikke bare en patcheoppgave – det er en dokumentasjonsplikt. Artikkel 21 i NIS2 krever at disse virksomhetene opprettholder og kan vise til tilstrekkelige tekniske tiltak for å håndtere identifiserte sårbarheter. Aktiv utnyttelse fra APT28 betyr at tilsynsmyndigheter og cyberforsikringsselskaper vil spørre: Visste dere om denne sårbarheten, og hva gjorde dere med den? CapaOne genererer eksporterbar CSV-dokumentasjon på enhetsnivå – patchdato, installert versjon, utbedringstiltak og tidsstempel. Det samme datasettet kan brukes til NIS2-rapportering, interne styringsgjennomganger og spørreskjemaer fra cyberforsikringsselskaper uten ekstra manuelt uttrekk. Hele revisjonssporet fra identifisert sårbarhet til bekreftet utbedring er tilgjengelig i et format revisorer kan godta direkte. Én CVE er et testtilfelle. En revisor ber om det samme sporet for måneder med patching, og det er det patchehåndtering med tanke på revisjon bygger opp. Det fjerner hastverket som vanligvis følger en henvendelse fra tilsynsmyndigheten. Book en demo av CapaOne-plattformen for endepunktadministrasjon her for å se hvordan Security Monitor identifiserer eksponeringen i enhetsparken din – eller start en gratis prøveperiode og utforsk plattformen selv.