CVE-2026-26105: XSS-sårbarhed i Microsoft SharePoint Server
Sårbarhed i Microsoft SharePoint Server kan udnyttes til at franarre brugere login-oplysninger. Opdatér til nyeste version.
Hvad er det?
CVE-2026-26105 er en cross-site scripting sårbarhed (fejl hvor et system ikke renser tekst korrekt, så en angriber kan indsætte skadelig kode i en webside) i Microsoft SharePoint Server. Fejlen findes i den måde, SharePoint genererer websider på, og gør det muligt at snige skadelig kode ind, som køres i browseren hos den, der åbner siden. Angriberen udnytter det til at udgive sig for at være en legitim del af SharePoint-løsningen, for eksempel for at franarre brugeren adgangskoder eller andre følsomme data. Sårbarheden kræver, at en bruger klikker på et link eller åbner et dokument, som angriberen har forberedt.
Hvem rammer det?
Sårbarheden rammer Microsoft SharePoint Server 2016 og 2019, samt alle versioner af Microsoft SharePoint Server før 16.0.19725.20076. Det gælder virksomheder og kommuner, der kører SharePoint lokalt på egne servere, typisk til intranet, dokumentdeling eller samarbejdsportaler. SharePoint Online i Microsoft 365 er ikke omfattet, da det er en cloud-tjeneste, som Microsoft opdaterer centralt.
Hvad kan ske?
En medarbejder modtager et link eller et dokument, der ser ud til at komme fra virksomhedens eget SharePoint-site. Når linket åbnes, køres skjult kode i medarbejderens browser, som kan vise en falsk login-side eller stjæle den session, medarbejderen allerede er logget ind med. Angriberen får dermed adgang til fortrolige dokumenter, personoplysninger eller interne data, uden at det nødvendigvis bliver bemærket med det samme.
Hvor alvorligt er det?
CVSS-scoren er 8,1 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login og kan udføres over netværket, men det kræver, at en bruger klikker på et forberedt link eller åbner et dokument. Konsekvensen er høj risiko for tab af fortrolige data og manipulation af indhold, mens der ikke er risiko for, at systemet går ned. Der er ikke rapporteret om aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden lukkes ved at opdatere SharePoint Server til den rettede version. Følg disse trin:
- Opdatér SharePoint Server til version 16.0.19725.20076 eller nyere via Microsofts sikkerhedsopdatering.
- Undersøg om jeres SharePoint-servere er tilgængelige fra internettet, og begræns adgangen, hvis det ikke er nødvendigt.
- Informér medarbejdere om ikke at klikke på uventede links eller dokumenter, selv hvis de ser ud til at komme fra virksomhedens eget SharePoint.
- Gennemgå logfiler for SharePoint for usædvanlig aktivitet i perioden op til opdateringen.
- Kontakt jeres it-leverandør eller Auroa, hvis I ikke har mulighed for at teste og udrulle opdateringen selv, eller hvis I er i tvivl om jeres SharePoint-version.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer SharePoint Server til den rettede version så hurtigt som muligt, da sårbarheden kan udnyttes uden login og rammer et system, der ofte ligger centralt i virksomhedens dokumentdeling. Det er i orden at planlægge opdateringen til næste driftsvindue, hvis det ligger inden for en uge, men vi fraråder at vente længere, da sårbarheden er offentligt kendt.
Tidslinje
Konkrete eksempler
Falsk login-side på intranettet
En medarbejder i en dansk kommune modtager en mail med et link til et dokument på kommunens SharePoint-intranet. Linket udnytter sårbarheden og viser en falsk login-side, hvor medarbejderen uforvarende taster sit brugernavn og kodeord. Angriberen bruger herefter oplysningerne til at logge ind på det rigtige SharePoint-site og tilgå fortrolige sagsdokumenter.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores SharePoint er ramt?
Tjek versionsnummeret på jeres SharePoint Server under central administration. Er det SharePoint 2016 eller 2019 med en version under 16.0.19725.20076, er I ramt.
Er SharePoint Online i Microsoft 365 også ramt?
Nej, sårbarheden gælder kun SharePoint Server, som køres lokalt. SharePoint Online opdateres centralt af Microsoft og er ikke omfattet.
Kan vi vente til weekenden med at opdatere?
Det er acceptabelt, hvis I opdaterer inden en uge. Da sårbarheden kræver brugerinteraktion, er risikoen ikke akut, men bør ikke skubbes ud over kort tid.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I har konstateret, at sårbarheden faktisk er blevet udnyttet og persondata er kompromitteret. Selve opdagelsen af sårbarheden udløser ikke en anmeldelsespligt.
Hvad gør vi, hvis vi ikke selv kan opdatere SharePoint?
Kontakt jeres it-leverandør eller en sikkerhedskonsulent som Auroa, der kan hjælpe med at teste og udrulle opdateringen sikkert.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20076
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an unauthorized attacker to perform spoofing over a network.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.