CVE-2026-47646: Kritisk fejl i Dynamics 365 Customer Voice

CVE-2026-47646 er en kritisk sikkerhedsfejl i Microsoft Dynamics 365 Customer Voice — det værktøj mange virksomheder bruger til at sende spørgeskemaer og indsamle kundefeedback. Fejlen kaldes cross-site scripting (forkortet XSS), hvilket betyder, at en angriber kan gemme skadelig kode i en webside eller et link. Når du eller en af dine medarbejdere klikker på et inficeret link, aktiveres koden automatisk i browseren. Det kræver ingen teknisk viden hos angriberen at udnytte fejlen, og den kan udføres fra internettet uden forudgående adgang til dit system.

Fejlen rammer alle virksomheder og organisationer, der bruger Microsoft Dynamics 365 Customer Voice — typisk til kundeundersøgelser, tilfredshedsmålinger eller feedback-formularer. Det gælder både cloud-versionen (online) og integrerede løsninger. Dine medarbejdere, kunder og samarbejdspartnere, der modtager eller klikker på links fra din Dynamics 365 Customer Voice-platform, kan være i farezonen. Særligt salgs-, marketing- og supportteams, der arbejder med kundekommunikation, bør være opmærksomme.

Hvis en angriber udnytter denne fejl, kan følgende ske:

• Identitetstyveri og spoofing: Angriberen kan udgive sig for at være din virksomhed og sende falske beskeder eller formularer til dine kunder.
• Datatyveri: Følsomme oplysninger som login-tokens og sessionsdata (adgangsnøgler i browseren) kan stjæles, så angriberen får adgang til jeres systemer.
• Phishing-angreb: Angriberen kan omdirigere dine kunder til falske sider, der ligner jeres rigtige sider, og narre dem til at afgive passwords eller kortoplysninger.
• Tab af tillid: Hvis kunder modtager svindelbeskeder, der tilsyneladende kommer fra jer, kan det skade jeres omdømme alvorligt.

Sårbarheden er vurderet til 9.3 ud af 10 (Kritisk) af det internationale sikkerhedsorgan CVSS. Det er næsten det højeste niveau. Fejlen kan udnyttes over internettet uden nogen form for forudgående adgang — angriberen behøver blot at få ét klik fra en af dine brugere. Kombinationen af høj fortroligheds- og integritetspåvirkning betyder, at både data og systemadgang er i fare. Den lave angrebskompleksitet gør det til et oplagt mål for selv mindre erfarne angribere.

Du bør handle hurtigt. Følg disse trin:

1. Kontrollér din Dynamics 365 Customer Voice-version: Log ind i dit Microsoft 365 administrationscenter og tjek, om du kører en opdateret version af Dynamics 365 Customer Voice.
2. Installér sikkerhedsopdateringen: Microsoft har udsendt en patch (sikkerhedsrettelse). Sørg for at opdatere hurtigst muligt via Microsoft Update eller dit administrationscenter.
3. Advar dine medarbejdere: Informér dit team om ikke at klikke på mistænkelige links, der angiveligt kommer fra Customer Voice, og om at rapportere usædvanlig adfærd i browseren.
4. Gennemgå aktive undersøgelser og formularer: Tjek om der er ukendte eller uautoriserede ændringer i jeres aktive Customer Voice-formularer og spørgeskemaer.
5. Overvåg loginaktivitet: Se efter usædvanlige login-forsøg eller ukendte sessioner i Microsoft 365’s sikkerhedslog (Audit Log).
6. Kontakt jeres IT-partner: Er du i tvivl, så kontakt din IT-leverandør eller en sikkerhedskonsulent, der kan hjælpe med at verificere jeres opsætning.