What is CVE-2026-68820?

It is an elevation-of-privilege vulnerability in Windows that lets an attacker with limited access escalate to much higher system permissions. LeakWatch confirms it is being actively exploited in the wild.

Who is linked to exploiting CVE-2026-68820?

The article links the vulnerability to the state-linked Lazarus group, which has a track record of pairing Windows zero-days with social engineering and fake job offer schemes.

What hardware flaws does the LeakWatch report also cover?

It covers flaws in AMD's firmware-based Trusted Platform Module (fTPM) and separate Intel vulnerabilities. The AMD fTPM flaw can undermine security features like disk encryption keys and secure boot verification.

Which malware families are mentioned in the article?

The article mentions ransomware operation Gunra and a newer strain called WindRelay. They are described as part of the layered attack surface.

Why is CVE-2026-68820 considered urgent?

It is urgent because it is not theoretical—real attackers are actively using it against real targets. An elevation-of-privilege bug can turn a minor compromise into full control of a device.

LeakWatch CW33: Windows-päiväntason haavoittuvuuden CVE-2026-68820 korjausopas

Kiireinen viikko Windows-tietoturvatiimeille

LeakWatchin tuorein yhteenveto kalenteriviikolta 33 vuodelle 2026 sisältää paljon yhdessä raportissa: aktiivisesti hyväksikäytetyn Windows-päiväntason haavoittuvuuden, uusia laitetason vikoja AMD:n ja Intelin suorittimissa sekä kaksi liikkuvaa haittaohjelmaperhettä. Jos hallinnoit Windows-tietokoneita kotona tai töissä, tämä on sellainen viikko, jolloin korjausten asentamista ei voi siirtää seuraavaan hiljaiseen viikonloppuun.

Pääuutinen on CVE-2026-68820, Windows-haavoittuvuus, jota hyökkääjät käyttävät jo aktiivisesti hyväkseen. LeakWatchin arvio yhdistää sen laitteistoon liittyviin ongelmiin AMD:n laiteohjelmistopohjaisessa Trusted Platform Module -moduulissa (fTPM) sekä erillisiin Intel-haavoittuvuuksiin, mukaan lukien Gunra-kiristyshaittaohjelman ja uudemman WindRelay-nimisen kannan toimintaan. Mikään näistä uhista ei elä erillään. Yhdessä ne kuvaavat kerroksellista hyökkäyspintaa: pääse sisään ohjelmistobugin kautta, kaivaudu syvemmälle laitteistoon liittyvien heikkouksien avulla ja asenna sitten haittaohjelma sisälle päästyäsi.

Mikä CVE-2026-68820 on ja miksi sitä hyödynnetään aktiivisesti

CVE-2026-68820 on oikeuksien korotushaavoittuvuus. Yksinkertaisesti sanottuna se antaa hyökkääjälle, jolla on jo jonkinlainen jalansija koneessa, jopa rajallinen, mahdollisuuden nostaa oikeutensa paljon korkeammiksi järjestelmän käyttöoikeuksiksi. Tämä ero on tärkeä. Oikeuksien korotusbugit harvoin otsikoivat samalla tavalla kuin etäkoodin suorittamisen haavoittuvuudet, mutta ne ovat juuri sellaisia haavoittuvuuksia, jotka muuttavat pienen kompromissin laitteen täydeksi hallinnaksi.

Se, mikä tekee tästä kiireellisen, on se, että se ei ole teoreettinen. LeakWatch vahvistaa aktiivisen hyväksikäytön, mikä tarkoittaa, että oikeat hyökkääjät käyttävät sitä nyt oikeita kohteita vastaan, eivät vain tutkijoiden todistamassa konseptin toimivuutta. Aiempi raportointimme CVE-2026-68820:sta ja sen yhteyksistä AFD.sys-ajuriin Windows 11:ssä menee syvemmälle haavoittuvuuden väärinkäytön teknisiin yksityiskohtiin, mukaan lukien sen yhteys valtiolliseen Lazarus-ryhmään, jolla on taipumus yhdistää Windows-päiväntason haavoittuvuuksia sosiaaliseen manipulointiin, mukaan lukien väärennetyt työtarjoushuijaukset, jotka on suunniteltu saamaan haitallista koodia uhrin koneelle alun perin.

Miten AMD-fTPM:n ja Intelin viat kasvattavat riskiä

Se, mikä erottaa tämän viikon LeakWatch-raportin rutiininomaisesta korjaussuosituksesta, on laitteistonäkökulma. AMD-fTPM toteuttaa Trusted Platform Module -toiminnallisuuden laiteohjelmistossa erillisen sirun sijaan, ja siihen luotetaan esimerkiksi levynsalausavaimissa ja suojatun käynnistyksen varmistuksessa. Vika tässä ei vaikuta vain yhteen sovellukseen; se voi heikentää luottamusankkuria, josta muut tietoturvaominaisuudet ovat riippuvaisia. LeakWatch nostaa esiin myös erillisiä Intel-haavoittuvuuksia samassa arviointiikkunassa.

Käytännön huoli on kerroksellisuus. Windowsin oikeuksien korotusbugi, kuten CVE-2026-68820, antaa hyökkääjälle tien sisään ja ylöspäin. Heikkous fTPM:ssä tai Intelin laiteohjelmistossa voi antaa samalle hyökkääjälle keinon pysyä syvemmällä, mahdollisesti selviytyen uudelleenasennuksista tai välttäen havaitsemistyökaluja, jotka olettavat laitteiston luottamusjuuren olevan vakaa. Yksittäin jokainen vika on vakava. Yhdessä ne kuvaavat hyökkäysketjun, joka siirtyy käyttöjärjestelmästä laiteohjelmistoon, mikä on paljon vaikeampi tavanomaisten tietoturvatyökalujen havaita.

Gunra ja WindRelay: Mitä ne tekevät sisään päästyään

Kun hyökkääjät ovat nostaneet oikeutensa, he tarvitsevat hyötykuorman, ja siinä kohtaa Gunra ja WindRelay tulevat kuvioihin. Gunra toimii kiristyshaittaohjelmauhkana, joka salaa tai varastaa tietoja kiristystä varten – liiketoimintamalli, josta on tullut kyberrikollisryhmien oletusarvo viime vuosina, kuten on nähty muiden kiristyshaittaohjelma-palveluna (RaaS) toimivien operaatioiden, kuten Eclipse, kohdalla, jotka laskevat kumppaneiden aloituskynnystä. WindRelay merkitään uudemmaksi haittaohjelmaperheeksi samassa raportissa, ja sen ilmestyminen aktiivisesti hyväksikäytetyn päiväntason haavoittuvuuden rinnalle muistuttaa siitä, että rikollisryhmät liikkuvat nopeasti hyödyntääkseen tuoreita haavoittuvuuksia ennen kuin puolustajat ehtivät asentaa korjaukset.

Tämä oikeuksien korotusbugin ja kiristyshaittaohjelman käyttöönoton yhdistelmä ei ole uutta aluetta. Hyökkääjät ovat osoittaneet samankaltaisia kaavoja aiemminkin, mukaan lukien tunnusten varastamiskampanjat, joita on ajettu vaarannettujen Wi-Fi-verkkojen kautta, jotka antavat heille alkuperäisen pääsyn ennen kuin he ottavat käyttöön lisää työkaluja. Yhteinen säie on aina sama: hanki jalansija, nosta oikeuksia ja kaupallista pääsy.

Välittömät toimet Windows-tietokoneesi suojaamiseksi tällä viikolla

Sinun ei tarvitse olla tietoturva-ammattilainen vähentääksesi altistumistasi tällä viikolla. Tässä on käytännöllinen tarkistuslista:

Asenna uusimmat Windows-tietoturvapäivitykset mahdollisimman pian. Microsoftin Patch Tuesday -sykli on jo käsitellyt CVE-2026-68820:n satojen muiden korjausten ohella; asennusikkunan viivyttäminen jättää oven auki.
Tarkista laiteohjelmisto- ja BIOS-päivitykset tietokonevalmistajaltasi, erityisesti jos järjestelmässäsi on AMD- tai Intel-suoritin, joka kuuluu tällä viikolla mainittujen vikojen piiriin.
Ota käyttöön automaattiset päivitykset Windowsille sekä virustorjunta- tai päätepistesuojatyökalullesi, jotta tulevat kriittiset korjaukset asentuvat ilman manuaalista puuttumista.
Varmuuskopioi tärkeät tiedostot offline- tai pilvitallennuspaikkaan, joka ei ole pysyvästi yhteydessä pääasialliseen laitteeseesi; tämä rajoittaa Gunran kaltaisen kiristyshaittaohjelman aiheuttamia vahinkoja.
Suhtaudu epäilevästi pyytämättömiin työtarjouksiin, rekrytoijien viesteihin tai odottamattomiin liitteisiin, jotka ovat yleinen toimitustapa tällaiselle päiväntason hyväksikäytölle.

Mitä tämä tarkoittaa sinulle

Useimmille kotikäyttäjille ja pienyrityksille opetus ei ole paniikki, vaan nopea toiminta. Aktiivisesti hyväksikäytetyt haavoittuvuudet, kuten CVE-2026-68820, ovat vaarallisia juuri siksi, että hyökkääjät tietävät jo, miten niitä käytetään, kun monet järjestelmät ovat edelleen korjaamatta. AMD-fTPM:n ja Intelin laiteohjelmisto-ongelmien lisääntynyt monimutkaisuus tarkoittaa, että vaikka korjaisit Windowsin itsensä, laiteohjelmistopäivitysten tarkistaminen on tärkeämpää kuin yleensä. Ja koska kiristyshaittaohjelmaryhmät, kuten Gunra, ja uudet haittaohjelmat, kuten WindRelay, ovat valmiita liikkumaan heti pääsyn saatuaan, ero rutiininomaisen korjaus-tiistain ja kalliin tapahtuman välillä tulee usein siitä, kuinka nopeasti päivitykset asennetaan.

Lopulliset johtopäätökset

Tämän viikon LeakWatch-havainnot korostavat kaavaa, joka on syytä muistaa: ohjelmisto- ja laiteohjelmistohaavoittuvuudet harvoin pysyvät erillään niitä hyväksi käyttävistä haittaohjelmista. Käsittele Windowsin päiväntason haavoittuvuuden CVE-2026-68820 korjausta prioriteettina, ei valinnaisena päivityksenä, ja yhdistä se laiteohjelmistotarkistukseen AMD- ja Intel-järjestelmissä. Pidä varmuuskopiot ajan tasalla, pysy valppaana tietojenkalastelutyylisten houkutusten suhteen ja varmista, että automaattiset päivitykset ovat todella päällä. Mikään näistä vaiheista ei vaadi edistyneitä teknisiä taitoja, mutta yhdessä ne sulkevat juuri ne aukot, joiden hyväksikäyttöön tämän viikon uhat on suunniteltu.