CVE-2026-32208: XSS-sårbarhed i Microsoft Edge
Fejl i Microsoft Edge giver angribere mulighed for at narre brugere via falsk indhold – opdater browseren nu.
Hvad er det?
CVE-2026-32208 er en såkaldt cross-site scripting-sårbarhed (XSS) i Microsoft Edge – den browser mange virksomheder bruger dagligt. XSS betyder, at en angriber kan injicere ondsindet kode i en webside, som din browser derefter kører uden at advare dig. I dette tilfælde kan angriberen bruge fejlen til at vise falsk indhold i din browser – for eksempel en falsk login-side eller falske beskeder – så det ser ud som om det kommer fra et legitimt websted. Fejlen kræver, at angriberen allerede har et normalt brugerlogin et sted, men kræver ingen hjælp fra dig som offer.
Hvem rammer det?
Sårbarheden rammer alle, der bruger Microsoft Edge (Chromium-baseret version) – både privat og i virksomheder. Det er særligt relevant for dig som virksomhedsleder, hvis dine medarbejdere bruger Edge som standardbrowser til fx webmail, interne systemer eller netbanken. Angriberen skal have adgang til et netværk og et almindeligt brugerniveau – det kan fx være en ondsindet hjemmeside eller et kompromitteret webprogram din medarbejder besøger.
Hvad kan ske?
En angriber kan udnytte fejlen til at:
- Vise falsk indhold i Edge-browseren, der ser troværdigt ud – fx en falsk login-boks der stjæler adgangskoder
- Narre medarbejdere til at tro, de er på et legitimt og sikkert websted, mens de i virkeligheden interagerer med angriberen
- I kombination med andre angreb potentielt overtage sessioner (brugerens aktive login) og dermed få adgang til systemer med høje rettigheder
CVSS-scoren på 8.8 afspejler, at konsekvenserne for fortrolighed, integritet og tilgængelighed alle vurderes som høje.
Hvor alvorligt er det?
Sårbarheden er vurderet til 8.8 ud af 10 (Alvorlig) af sikkerhedseksperter. Det skyldes, at angrebet kan gennemføres over internettet uden teknisk snilde, og at det ikke kræver din aktive medvirken som offer. Angriberen behøver kun et almindeligt login – ikke administratorrettigheder. Det gør truslen reel og relevant for de fleste virksomheder der bruger Edge.
Hvad gør jeg nu?
Du bør opdatere Microsoft Edge på alle virksomhedens computere hurtigst muligt. Sådan gør du:
- Opdatér Edge med det samme: Åbn Edge, klik på de tre prikker øverst til højre, vælg ‘Hjælp og feedback’ → ‘Om Microsoft Edge’. Browseren søger selv efter opdateringer og installerer dem.
- Sørg for automatiske opdateringer er slået til: Tjek at din IT-opsætning tillader Edge at opdatere sig selv automatisk – det forhindrer lignende problemer fremover.
- Informér dine medarbejdere: Bed dem være ekstra opmærksomme på mistænkelige login-sider og uventede pop-ups i browseren, selvom de ser legitime ud.
- Overvej en central opdateringspolitik: Hvis I har mange computere, bør IT eller en ekstern samarbejdspartner sikre, at alle maskiner opdateres samlet og hurtigt ved den slags situationer.
Opdatér inden for 48 timer
Vi anbefaler, at du opdaterer Microsoft Edge på alle virksomhedens enheder inden for de næste 48 timer. Selvom angrebet kræver et vist adgangsniveau, er spoofing-angreb (forfalskning af indhold) en velkendt metode til at stjæle adgangskoder og kompromittere systemer. Sørg samtidig for, at automatiske browseroppdateringer er aktiveret, så I ikke er sårbare næste gang en lignende fejl opstår. Kontakt os, hvis I har brug for hjælp til at kortlægge og opdatere jeres browserpark.
Tidslinje
Konkrete eksempler
Falsk login-side i Edge
En angriber udnytter sårbarheden via et kompromitteret eller ondsindet websted. Når en medarbejder besøger siden i Edge, injiceres en falsk login-boks direkte i browservinduet. Medarbejderen tror, det er et legitimt system og indtaster sit brugernavn og kodeord – som straks sendes til angriberen. Angriberen har nu adgang til virksomhedens systemer.
Forfalsket bankmeddelelse
En medarbejder bruger virksomhedens netbank i Edge. Angriberen har via XSS-fejlen indsat en falsk advarsel på banksiden, der beder medarbejderen bekræfte sine oplysninger. Medarbejderen følger instruktionen og afgiver kortoplysninger eller godkender en falsk transaktion, da siden ser ægte ud.
Omdirigering via internt webbaseret system
Mange SMV’er bruger webbaserede interne systemer – fx til tidsregistrering, CRM eller økonomi. Hvis et sådant system har en side, angriberen kan manipulere med via Edge-fejlen, kan medarbejdere blive omdirigeret til en side, der ser identisk ud, men opsamler deres loginoplysninger. Angriberen får dermed adgang til virksomhedens interne data.
Ofte stillede spørgsmål
Skal jeg stoppe med at bruge Edge, indtil der er en opdatering?
Nej, det er ikke nødvendigt at holde helt op med at bruge Edge. En opdatering er sandsynligvis allerede tilgængelig – tjek om din browser er opdateret til nyeste version. Opdateret Edge er sikker at bruge.
Er vi i fare, hvis vi bruger Chrome eller Firefox i stedet for Edge?
Denne specifikke sårbarhed findes kun i Microsoft Edge. Bruger dine medarbejdere primært andre browsere, er I ikke direkte påvirket af netop denne fejl. Men det er generelt god praksis at holde alle browsere opdaterede.
Hvad er spoofing, og hvorfor er det farligt?
Spoofing betyder, at angriberen forfalder eller efterligner noget ægte – fx en login-side, en besked eller et websted. Det er farligt, fordi dine medarbejdere kan tro de handler sikkert, mens de i virkeligheden afgiver følsomme oplysninger som adgangskoder eller kreditkortnumre til en angriber.
Kan vores antivirusprogram beskytte os mod dette?
Antivirus hjælper generelt, men det er ikke en garanti mod XSS-angreb, der udnytter browserens egne funktioner. Den bedste beskyttelse er at holde Edge opdateret. Antivirus og andre sikkerhedsværktøjer er et godt supplement, men erstatter ikke opdateringer.
Hvordan ved jeg, om vi allerede er blevet angrebet?
Det kan være svært at opdage uden teknisk overvågning. Tegn kan være, at medarbejdere har oplevet uventede login-sider, bedt om at logge ind igen uden grund, eller set usædvanlige pop-ups i Edge. Har du mistanke, bør du kontakte en IT-sikkerhedsekspert for en vurdering.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Edge (Chromium-based) allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.