CVE-2026-47644: Injektionsfejl i Microsoft Copilot Chat

CVE-2026-47644 er en sårbarhed i Microsoft Copilot Chat, den indbyggede AI-assistent i Edge-browseren. Fejlen skyldes såkaldt injektion: input bliver ikke renset ordentligt, før det sendes videre til en anden komponent i systemet. Det betyder, at en angriber kan snyde Copilot Chat til at afsløre oplysninger, den ikke burde dele, ved at få en bruger til at interagere med et forberedt indhold, for eksempel et link eller en besked.

Sårbarheden rammer virksomheder, der bruger Microsoft Edge med Copilot Chat aktiveret. Det gælder de fleste danske virksomheder, der bruger Windows 10 eller 11 med standardinstalleret Edge, samt medarbejdere der har fået Copilot Chat slået til via Microsoft 365 eller som separat funktion i browseren. Der er ikke angivet specifikke versionsnumre i sårbarhedsbeskrivelsen, da Copilot Chat opdateres løbende som en cloud-tilknyttet tjeneste.

En angriber kan narre en medarbejder til at klikke på et link eller åbne indhold, der udnytter fejlen. Herefter kan Copilot Chat komme til at afsløre information, som brugeren ikke havde til hensigt at dele, for eksempel dele af en samtale, interne data eller andet indhold, som assistenten har adgang til i browserkonteksten. Det er ikke en fejl, der giver angriberen adgang til at ændre data eller lukke systemer ned, men den kan bruges til at stjæle følsomme oplysninger.

CVSS-score er 6,5 ud af 10, hvilket er moderat. Angrebet kræver ingen login eller forudgående adgang, men det kræver brugerhandling: medarbejderen skal klikke på noget eller åbne noget forberedt af angriberen. Kun fortrolighed er påvirket, altså risiko for datalæk, mens integritet og tilgængelighed ikke er berørt. Der er ingen oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.

Følgende trin lukker hullet og reducerer risikoen, mens I venter på opdatering.

1. Sørg for, at Microsoft Edge er sat til automatisk opdatering, og tjek at alle medarbejderes browsere kører den nyeste version.
2. Informér medarbejdere om ikke at klikke på ukendte links eller indhold, der beder Copilot Chat om at udføre usædvanlige handlinger.
3. Gennemgå, om Copilot Chat har adgang til følsomme data i jeres organisation, og begræns adgangen, hvis det ikke er nødvendigt.
4. Overvåg logfiler for usædvanlig aktivitet i forbindelse med Copilot Chat-brug, hvis I har mulighed for det.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres opsætning af Copilot Chat er eksponeret, eller hvis I har brug for hjælp til at afgrænse dataadgang.