Obs
- Ursprungligt publiceringsdatum: Den 13 januari 2026
- KB-ID: 5074952
I den här artikeln
- Introduktion
- Sammanfattning
- Tidslinje över ändringar
- Agera!
- Händelseloggning
- Sammanfattning av åtgärdssteg (januari – april 2026)
- Ändringslogg
Introduktion
Windows Deployment Services (WDS) stöder nätverksbaserad distribution av Windows-operativsystem. En vanlig funktion – handsfree-distribution – förlitar sig på en svarsfil (kallas även Unattend.xml-fil) för att automatisera installationsskärmar, inklusive autentiseringsuppgifter.
Obs
- SÄKERHETSRISK: När en unattend.xml fil överförs via en oautentiserad (osäker) RPC-kanal kan känsliga data exponeras och skapa en potentiell risk för stöld av autentiseringsuppgifter eller fjärrkörning av kod. Angripare i samma nätverk kan snappa upp den här filen, vilket kan leda till kompromettering av autentiseringsuppgifter eller fjärrkörning av kod.
- För att förstärka säkerheten tar Microsoft bort stödet för handsfree-distribution via osäkra kanaler. Den här ändringen kommer att införas i två faser.
Sammanfattning
För att minska en potentiell säkerhetsrisk och för att förstärka säkerheten tar Microsoft som standard bort stödet för handsfree-distribution via osäkra kanaler.
Mer information om sårbarheten finns i CVE-2026-0386.
Obs
VIKTIGT: Denna säkerhetsrisk påverkar inte Microsoft Configuration Manager. Problemet gäller endast interna WDS-scenarier (Windows Deployment Services) där en Unattend.xml fil refereras till och exponeras via RemoteInstall-resursen . Configuration Manager förlitar sig inte på den här mekanismen. WDS används enbart för att tillhandahålla boot.wim- (network bootstrap) filer (NBP), som inte påverkas.
Tidslinje över ändringar
Microsoft kommer att distribuera härdningsändringarna i två faser.
Fas 1 (13 januari 2026): Handsfree-distribution fortsätter att stödjas och kan uttryckligen inaktiveras för att förbättra säkerheten.
- Händelseloggaviseringar introduceras.
- Tillgängliga registernyckelalternativ för att välja säkert eller osäkert läge.
Fas 2 (14 april 2026): Handsfree-distribution är inaktiverat som standard, men kan återaktiveras om det behövs med förståelse för de associerade säkerhetsriskerna
- Standardbeteendet ändras till säkerhet-som-standard.
- Handsfree-distribution fungerar inte längre om det inte uttryckligen åsidosätts med registerinställningarna.
Agera!
Obs
VIKTIGT: Om ingen åtgärd vidtas (ingen registernyckel läggs till) mellan januari och april 2026 blockeras handsfree-distributionen efter säkerhetsuppdateringen i april 2026.
I det här avsnittet:
Fas 1 (13 januari 2026)
Alternativ 1: Aktivera säkert beteende (rekommenderas)
För att aktivera åtgärden för sårbarheten enligt beskrivningen i CVE-2026-0386 och säkerställa att enheten är säker tillämpar du Windows-uppdateringen som släpptes 13 januari 2026 eller senare. Använd sedan följande registerinställning för att framtvinga säkert beteende.
| Registerplats | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| DWORD-namn | AllowHandsFreeFunctionality |
| Värdedata |
00000000
|
| Obs! |
|
Alternativ 2: Fortsätt handsfree-distribution (osäker) (rekommenderas inte)
Om du vill fortsätta använda handsfree-distribution anger du värdet 1 för registernyckeln:
| Registerplats | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| DWORD-namn | AllowHandsFreeFunctionality |
| Värdedata |
00000001
|
| Obs | Om inga åtgärder vidtas (ingen registernyckel läggs till) under januari–april efter aprils säkerhetsuppdatering, blockeras handsfree-distributionen. |
Alternativ och beteende för registernycklar
I följande tabell beskrivs hur du ställer in värdet AllowHandsFreeFunctionality i registret.
| Registervärde | Läge | Beteende | Framtida påverkan |
|---|---|---|---|
| Frånvarande (standard) | Osäker | Handsfree fungerar, men är osäkert. Händelseloggmeddelanden har utfärdats | Kommer att bryta handsfree i framtida versioner |
| DWORD:00000000 | Säker | Blockerar oautentiserad åtkomst, handsfree-distribution inaktiveras | Ingen ändring – Icke-autentiserad åtkomst fortsätter att vara blockerad och handsfree-distribution förblir inaktiverad |
| DWORD:00000001 | Osäker | Handsfree bevaras, men osäker | Ingen ändring – handsfree-distribution förblir aktiverad, men osäker. |
Obs
OBSERVERA I framtida Windows-uppdateringar framtvingar standardvärdet för AllowHandsFreeFunctionality säkert läge om det inte åsidosätts.
Fas 2 (14 april 2026)
Handsfree-distribution är helt inaktiverat till en säker konfiguration. Administratörer kan åsidosätta konfigurationen och förstå de säkerhetsrisker som är förknippade med den.
Obs
UPPDATERING Ovannämnda ändringar har distribuerats via Windows Uppdateringar som släpptes den 14 april 2026 och senare. Efter den här uppdateringen stöds inte längre handsfree-driftsättningsscenarier med WDS. Det finns dokumenterade alternativa metoder för handsfree-distribution, men de innebär kända säkerhetsrisker och rekommenderas därför inte.
Under den här fasen ändras standardbeteendet till säkerhet som standard.
Om du behöver fortsätta använda handsfree-distribution läser du fas 1, alternativ 2(rekommenderas inte).
Händelseloggning
Nya händelser läggs till för att hjälpa administratörer att övervaka distributionen.
Följande händelser loggas i loggen Microsoft-Windows-Deployment-Services-Diagnostics/Debug :
Säkert läge
Obs
Varning: Unattend file request gjordes via en oskyddad anslutning. Windows Deployment Services har blockerat begäran om att skydda systemet. Mer information finns i: https://go.microsoft.com/fwlink/?linkid=2344403
Anteckning Den här varningen utlöses när unattend.xml begärs utan en säker kanal.
Osäkert läge
Obs
Fel: Det här systemet använder osäkra inställningar för Windows Deployment Services. Detta kan exponera känsliga konfigurationsfiler för avlyssning. Använd Microsofts rekommenderade säkerhetsinställningar för att skydda din distribution. Läs mer på: https://go.microsoft.com/fwlink/?linkid=2344403
Det här felet utlöses när unattend.xml efterfrågas på ett osäkert sätt eller när WDS startar.
Sammanfattning av åtgärdssteg (januari – april 2026)
- Granska WDS-konfigurationen och identifiera unattend.xml användning.
- Använd den rekommenderade registernyckeln (AllowHandsFreeDeployment=0) för att framtvinga säker distribution.
- Övervaka Loggboken för varningar eller fel som rör unattend.xml åtkomst.
- Förbered dig för versioner efter säkerhetsuppdateringen i april 2026 genom att ta bort beroendet av handsfree-distribution.
- När du har installerat Windows Uppdateringar som släpptes den 14 april 2026 eller senare är handsfree-distributionsscenarier med WDS inaktiverade som standard och stöds inte längre.
- Administratörer kan åsidosätta säker konfiguration som standard för handsfreedistributioner för att fortsätta fungera, men det rekommenderas inte. Vi rekommenderar att du behåller den här funktionen inaktiverad för att upprätthålla en säker konfiguration och migrera till alternativa metoder.
Ändringslogg
| Ändra datum | Beskrivning av ändring |
|---|---|
| 14 april 2026 |
|