CVE-2026-41106: Åben omdirigering i M365 Copilot

CVE-2026-41106 er en fejl af typen ‘open redirect’ (åben omdirigering) i Microsoft 365 Copilot, den AI-assistent der er integreret i Word, Outlook, Teams og andre Microsoft 365-programmer. Fejlen betyder, at et link, der ser ud til at pege på en betroet Microsoft-adresse, i virkeligheden kan omdirigere brugeren videre til en side, angriberen kontrollerer. Fordi Copilot arbejder med brugerens rettigheder og adgang til dokumenter og mails, kan et sådant omlagt link bruges til at franarre en medarbejder samtykke eller session-oplysninger, som derefter giver angriberen adgang på et højere niveau end de burde have.

Sårbarheden rammer alle organisationer, der bruger Microsoft 365 med Copilot aktiveret, uanset virksomhedens størrelse. Det gælder både Copilot i Office-apps og Copilot i Teams og SharePoint. Der er ikke tale om en lokal installation, som I selv skal opdatere, men om en fejl i selve Microsoft-tjenesten.

En medarbejder modtager en mail eller besked med et link, der ligner en normal Microsoft- eller Copilot-notifikation. Klikker medarbejderen på linket, bliver de sendt videre til en side, angriberen styrer. Her kan angriberen forsøge at stjæle login-oplysninger eller få medarbejderen til at godkende adgang, som derefter bruges til at læse eller ændre dokumenter og mails, Copilot har adgang til. Angrebet kræver ikke, at angriberen allerede har et brugernavn eller kodeord i jeres system.

CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kan udføres over internettet uden forudgående adgang til systemet og med lav teknisk kompleksitet. Det kræver dog, at en bruger klikker på et link (brugerhandling), så det er ikke et angreb, der kører helt automatisk. Konsekvensen er høj risiko for at data læses eller ændres (fortrolighed og integritet begge høje), men ikke for at systemet går ned (ingen påvirkning af driftsstabilitet). Der er ingen kendte tegn på, at fejlen er udnyttet i praksis på offentliggørelsesdatoen.

Fordi Copilot er en Microsoft-hostet tjeneste, retter Microsoft selv fejlen i baggrunden. Jeres opgave er derfor primært at sikre, at tenanten er opdateret og at medarbejderne er forberedt på lignende forsøg.

1. Bekræft i Microsoft 365 admin-centeret, at jeres tenant kører den nyeste version af Copilot-tjenesten, og at der ikke er udestående sikkerhedsmeddelelser fra Microsoft.
2. Aktivér eller efterse Conditional Access-politikker og multifaktor-godkendelse, så et stjålet login ikke alene giver adgang.
3. Informer medarbejdere om, at links i mails og notifikationer, også de der ser ud til at komme fra Microsoft, skal tjekkes, før de klikkes, og at de aldrig skal godkende ukendte adgangsanmodninger.
4. Gennemgå logon-logs i Microsoft Entra for usædvanlig aktivitet, især nye samtykker til apps eller uventede login-lokationer.
5. Kontakt jeres it-sikkerhedspartner, hvis I finder tegn på misbrug, eller hvis I er i tvivl om, hvordan Conditional Access er sat op i jeres organisation.