Patch Tuesday i mai 2026 inneholdt fire kritiske sårbarheter for fjernkjøring av kode (RCE) i Microsoft Word. To av dem – CVE-2026-40361 og CVE-2026-40364 – har Microsofts vurdering «Exploitation More Likely». Krebs on Security og Microsofts sikkerhetsvarsel bekrefter begge at leseruten i Outlook (Reading Pane) er en angrepsvektor. Den samme gjengivelseskoden i Word som kjører når du åpner et dokument, kjører også når Outlook forhåndsviser det. En bruker som markerer en skadelig e-post – uten å klikke på vedlegget – kan utløse angrepet. «Ikke åpne vedlegg» har vært den grunnleggende sikkerhetsinstruksen i to tiår. Denne sårbarheten gjør den strukturelt utilstrekkelig. Angrepsflaten er nå hver eneste innboks, på hvert Windows-endepunkt, i hver virksomhet som kjører en upatchet versjon av Office.
Derfor er patchevinduet lengre enn det ser ut
Microsoft 365 Apps i Monthly Enterprise Channel får rettelsen innen 24 timer etter Patch Tuesday via Click-to-Run. For disse endepunktene er eksponeringsvinduet kort. Men Click-to-Run dekker bare Microsoft 365 Apps. MSI-baserte Office-installasjoner – Office 2016, 2019 og 2021 – oppdaterer seg ikke selv. De krever en styrt utrulling via WSUS eller tilsvarende verktøy. SC Media og Help Net Security har begge rapportert at slike installasjoner kan ligge uker etter når virksomheter mangler en strukturert oppdateringsprosess. De fleste større IT-miljøer har begge deler. En gradvis overgang til Microsoft 365 Apps etterlater en hale av MSI-installasjoner på eldre maskinvare, på eksterne lokasjoner eller i avdelinger som ble nedprioritert. Hvert av disse endepunktene er eksponert for en angrepsvektor som ikke krever noe klikk (zero-click), helt til patchen kommer. Hvis du ikke allerede har bekreftet patchstatusen for CVE-2026-41096 – RCE-sårbarheten i Windows DNS Client med CVSS 9,8 fra den samme Patch Tuesday – gjelder de samme prinsippene for hele Windows-miljøet ditt.
Problemet med oversikten
Det vanskeligste spørsmålet er ikke om patchen finnes. Spørsmålet er om IT-avdelingen vet nøyaktig hvilke endepunkter som kjører MSI-basert Office – og kan bekrefte, enhet for enhet, at rettelsen er på plass. Den oversikten er vanskeligere å holde ved like enn det høres ut, siden Office-versjonene er spredt over Click-to-Run, WSUS og eldre utrullinger, uten én samlet statusoversikt for hele enhetsparken.
Hva CapaOne gjør – og ikke gjør
CapaOne patcher ikke Microsoft Office. Click-to-Run håndterer Microsoft 365 Apps; WSUS håndterer MSI-installasjoner. CapaOnes rolle er å gi IT-avdelingen den innsikten og de kontrollene som betyr noe når en zero-click-angrepsvektor er bekreftet aktiv. For virksomheter som også bruker Microsoft Intune, gir CapaOne den oversikten over patchstatus som Intune ikke har innebygd. CapaOne fungerer også helt uten Intune.
Se nøyaktig hvilke endepunkter som fortsatt er eksponert
Security Monitor viser status for Office-versjoner og konfigurasjonsavvik i hele IT-miljøet i én konsoll – uansett om endepunktene administreres via Click-to-Run, WSUS eller eldre utrullinger. Når leseruten i Outlook blir en aktiv angrepsvektor, besvarer Security Monitor det operative spørsmålet: Hvilke endepunkter kjører fortsatt upatchet Word, og hvor er de? Det er ikke en fremdriftsindikator for utrullingen. Det er dokumentasjon av status på enhetsnivå – forskjellen mellom å anta at patchen er på plass og å vite det.
Fjern det neste laget av eksponering
Et vellykket angrep via forhåndsvisningen gir angriperen mulighet til å kjøre kode på endepunktet. Hva som skjer deretter, avhenger i stor grad av hva annet som kjører der. Utdaterte nettlesere, dokumentkonverterere og kommunikasjonsverktøy er den enkleste veien videre. Application Manager holder automatisk dette tredjepartslaget oppdatert og lukker inngangene angripere bruker etter den første tilgangen.
Begrens skaden ved et kompromittert endepunkt
Hvis sårbarheten utnyttes før patchen har nådd alle endepunkter, avhenger skadeomfanget av hvordan rettighetene er styrt. Privilege Manager fjerner faste lokale administratorrettigheter og erstatter dem med policybasert, midlertidig heving av rettigheter (just-in-time). Uten faste administratorrettigheter har en angriper som får kjøre kode via forhåndsvisningen, ingen umiddelbar mulighet til lateral bevegelse eller rettighetseskalering. Patchevinduet vil alltid finnes. Privilege Manager begrenser skaden som vinduet skaper.
Leseruten i Outlook som angrepsvektor: Dette bør du gjøre denne uken
Det viktigste er å vite hvor eksponeringen faktisk ligger:
-
Kartlegg installasjonstypene for Office i Security Monitor. Filtrer på versjonsstatus for å skille Click-to-Run fra MSI-baserte installasjoner. MSI-endepunktene er eksponeringshalen din – Click-to-Run håndterer seg selv.
-
Finn hullene i oppdateringsringene. Endepunkter i Semi-Annual Enterprise Channel eller bak forsinkelser i gruppepolicyene for WSUS får kanskje ikke rettelsen på flere uker. Security Monitor viser dem uten manuell kryssjekking.
-
Gå gjennom statusen for tredjepartsprogrammer i Application Manager. Nettlesere, PDF-lesere og samarbeidsverktøy med utdaterte versjoner er den enkleste veien videre etter et angrep. Se etter versjonsavvik, og automatiser der det er mulig.
-
Gå gjennom faste administratorrettigheter i Privilege Manager. Ethvert endepunkt med permanente lokale administratorrettigheter øker skadeomfanget hvis et angrep via forhåndsvisningen lykkes før patchen kommer. Privilege Manager fjerner den faste tilgangen.
Når leseruten i Outlook er en angrepsvektor, endrer det trusselbildet for hvert Windows-endepunkt som kjører Office. Spørsmålet er hvor raskt IT-avdelingen din kan bekrefte hvilke endepunkter som fortsatt er eksponert – og hva den kan gjøre før patchen kommer. Book en demo for å se Security Monitor og Privilege Manager i praksis – eller start en gratis prøveperiode og test det i ditt eget IT-miljø.
