CVE-2026-45497: Kommandoinjektion i Microsoft Copilot

CVE-2026-45497 er en sårbarhed i Microsoft Copilot, hvor programmet ikke renser input korrekt, før det sendes videre til et kommandofortolkersystem. Det kaldes kommandoinjektion (CWE-77): en angriber kan indsætte egne systemkommandoer i data, som Copilot behandler, og få dem udført på serveren i stedet for den tilsigtede handling. Fordi Copilot er en cloud-tjeneste integreret i Microsoft 365, kan en sådan fejl potentielt give adgang til data og funktioner ud over det, brugeren normalt har rettigheder til.

Sårbarheden rammer organisationer, der bruger Microsoft Copilot, herunder Copilot integreret i Microsoft 365-produkter som Word, Excel, Teams og Outlook. Der er ikke angivet specifikke versionsnumre, fordi Copilot leveres og opdateres som en cloud-tjeneste af Microsoft. Alle danske virksomheder og kommuner, der har aktiveret Copilot-licenser til medarbejdere, er potentielt berørt, uanset virksomhedens størrelse.

En angriber, der allerede har en lav grad af adgang, for eksempel en almindelig brugerkonto, kan udnytte fejlen til at køre kode på serversiden uden at have brug for yderligere brugerhandling. Fordi angrebet ændrer omfang (scope changed), kan konsekvenserne række ud over selve Copilot-komponenten og påvirke andre dele af tenanten. I praksis kan det betyde uautoriseret læsning af følsomme data, mindre ændringer af indhold eller kortvarige forstyrrelser i tjenesten.

CVSS-scoren er 7,7 ud af 10, som er alvorlig. Angrebet kræver netværksadgang og lav grad af rettigheder (PR:L), men ingen brugerinteraktion fra offeret. Angrebskompleksiteten er høj, hvilket betyder, at det kræver særlige forudsætninger eller viden at udføre angrebet i praksis. Konsekvensen for fortrolighed er høj, mens integritet og tilgængelighed kun rammes i begrænset omfang. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes, eller at der findes offentligt tilgængelig kode til at udnytte den.

Fordi Microsoft Copilot er en cloud-tjeneste, sker selve rettelsen typisk hos Microsoft. Alligevel bør I sikre jer, at jeres organisation er dækket og reagere hurtigt, hvis noget afviger.

1. Tjek Microsoft 365 Message Center og admin-portalen for bekræftelse på, at opdateringen til Copilot er rullet ud til jeres tenant.
2. Gennemgå adgangsrettigheder til Copilot og tilknyttede connectors, så kun nødvendige medarbejdere har adgang, og fjern overflødige rettigheder.
3. Gennemgå logfiler for usædvanlig aktivitet i Copilot, herunder uventede kommandoer eller dataudtræk fra brugere med lav adgang.
4. Informér it-support og relevante medarbejdere om, at mistænkelig adfærd i Copilot skal indberettes med det samme.
5. Kontakt Microsoft support eller en sikkerhedsrådgiver som Auroa, hvis I ikke kan bekræfte, at opdateringen er anvendt, eller hvis I ser tegn på misbrug.