Windows 10 står stadig på nogle skriveborde

Datoer og priser er tjekket hos Microsoft den 9. oktober 2026.

Windows 10 holdt op med at få almindelige sikkerhedsopdateringer den 14. oktober 2025. Et år senere står der stadig Windows 10-maskiner i de fleste virksomheder, vi kommer ud til. Sjældent mange, men et par stykker, og som regel af en god grund.

Det er der ikke noget skammeligt i. Men det kræver, at man ved, hvilke maskiner det drejer sig om, og i hvilken rækkefølge de skal håndteres. Her er den model, vi bruger, når vi hjælper med at lægge rækkefølgen.

Problemet er ikke Windows 10. Det er opdateringerne, der ikke kommer

En Windows 10-maskine virker lige så godt i dag som for et år siden. Programmerne starter, og printeren printer. Det, der har ændret sig, kan man ikke se: Når der bliver fundet et nyt hul i Windows, bliver det ikke længere lukket på maskinen.

Det betyder ikke, at maskinen bliver angrebet i morgen. Men risikoen vokser for hver måned, fordi listen over kendte, ulukkede huller bliver længere. Og hullerne er offentligt kendte. Det er netop det, der gør dem brugbare for den, der vil ind.

Microsoft sælger en forlængelse, Extended Security Updates (ESU), hvor virksomheder kan købe sikkerhedsopdateringer i op til tre år efter supportophøret, ét år ad gangen. Det første år udløber nu i oktober 2026. Prisen var 61 dollars pr. maskine for første år, og den fordobles hvert år, så andet år koster 122 dollars. Køber man først nu, skal man også betale for det første år, fordi ESU ikke kan købes med huller. Det giver 183 dollars pr. maskine for at være dækket det næste år.

ESU er en fornuftig løsning til de maskiner, der af gode grunde ikke kan skiftes endnu. Det er en dyr løsning til dem, man bare ikke er nået til.

Tre spørgsmål afgør rækkefølgen, ikke alderen

Det naturlige er at skifte de ældste maskiner først. Men alder siger ikke meget om risiko. Stil i stedet de her tre spørgsmål til hver maskine:

1. Hvad ligger der på den, og hvad kan den nå ud til? En maskine med adgang til fællesdrev, økonomisystem eller kundedata er mere værd at angribe end en, der kun kan se en printer.
2. Bruges den til mail og internet? Det er dér, angreb kommer ind: en vedhæftet fil, et link, en side med skadelig kode. En maskine, ingen læser mail på, har en meget mindre dør.
3. Findes der en vej videre? Kan maskinen opgraderes til Windows 11, eller kører den noget, der ikke findes i en nyere version? Det afgør, om løsningen er at opgradere, skifte eller isolere.

Ud fra svarene falder maskinerne typisk i tre grupper:

En ti år gammel maskine uden netadgang, der styrer én ting, haster altså mindre end en seks år gammel, som en medarbejder også læser mail på. Den sidste er der, angreb kommer ind.

Maskinen, der ikke kan skiftes, skal skæres fra resten

De fleste produktionsvirksomheder har én: pc’en ved fræseren, styringen til ventilationsanlægget, programmet til måleudstyret, som leverandøren aldrig har lavet en ny version af. Den kan ikke bare skiftes, og så længe den gør sit arbejde, er der ofte heller ingen grund til det.

Løsningen er at gøre maskinen så ensom som muligt:

• Sit eget netværk. Læg den på et separat netværkssegment, så den ikke kan se resten af virksomheden, og resten ikke kan se den.
• Ingen mail og ingen browser. Ingen læser mail eller surfer på den. Sker det i dag, er det det første, der skal ændres.
• Kun den adgang, den skal bruge. Skal den hente filer fra en server eller sende data til leverandøren, åbnes der for netop det og intet andet.
• Ingen tilfældige USB-nøgler. Filer flyttes på én fast, aftalt måde.

Spørg også leverandøren, hvilken udgave af Windows maskinen kører. Nogle produktionsmaskiner er leveret med en særlig langtidsudgave af Windows 10 (LTSC), som har sin egen, længere supportperiode. Så er der mindre travlt, men det skal man vide, ikke gætte.

ESU kan give mening oveni, men det erstatter ikke adskillelsen. En opdateret maskine på et netværk, hvor alt kan se alt, er stadig en dør ind til resten.

Forsikringen og kunderne er begyndt at spørge

Det er ikke kun angribere, der interesserer sig for gamle maskiner. Vi oplever, at der oftere bliver spurgt til, om alle systemer får sikkerhedsopdateringer, når en cyberforsikring skal fornyes. Det samme gør større kunder, når de sender spørgeskemaer ud til deres leverandører.

Et ærligt svar med en plan klarer sig som regel fint: “Vi har to Windows 10-maskiner. Den ene skiftes i november, den anden styrer produktionsudstyr og står på sit eget netværk.” Det svar, der ikke klarer sig, er “det ved vi ikke”.

Regn på det, før det bliver en hastesag

Lav listen nu. Den behøver ikke være mere end et regneark med én række pr. Windows 10-maskine:

• Hvem bruger den, og til hvad?
• Hvilken gruppe hører den til: først, dernæst eller isolér?
• Kan den køre Windows 11? Åbn Indstillinger → Opdatering og sikkerhed → Windows Update på maskinen. Står der intet om Windows 11, kan appen PC-tilstandskontrol fortælle hvorfor.
• Hvad koster det at skifte den, og hvad koster ESU?

Den sidste sammenligning overrasker ofte. Skal en maskine holdes dækket helt til oktober 2028, hvor ESU slutter, koster det 427 dollars i licenser, knap 3.000 kroner, for at holde liv i en maskine, der alligevel skal skiftes. Det er penge brugt på at udskyde en beslutning, ikke på at træffe den.

Og efter oktober 2028 kommer der ingen opdateringer, uanset hvad man betaler. Den dato flytter sig ikke.