CVE-2026-47645: Open redirect i Microsoft 365 Copilot
Åben omdirigering i Microsoft 365 Copilots Business Chat kan give angribere højere rettigheder. Sørg for at jeres Copilot-lejemål er opdateret via Microsoft.
Hvad er det?
Sårbarheden CVE-2026-47645 er en fejltype kaldet open redirect, hvor et system videresender brugere til en webadresse uden at tjekke, om målet er tillid værd. I Microsoft 365 Copilots Business Chat, en funktion der lader medarbejdere stille spørgsmål og få svar baseret på virksomhedens data i Microsoft 365, kan en angriber udnytte denne fejl til at sende et link, der ser ud til at høre til Microsoft, men som reelt fører til en side under angriberens kontrol. Herfra kan angriberen forsøge at opnå højere rettigheder i systemet, for eksempel ved at franarre brugeren login-oplysninger eller godkendelser.
Hvem rammer det?
Sårbarheden findes i Microsoft 365 Copilots Business Chat, som er en del af Microsoft 365 Copilot-abonnementet. Det rammer alle organisationer, der har aktiveret Copilot og Business Chat for deres medarbejdere, uanset virksomhedens størrelse. Da det er en sky-tjeneste, er der ingen lokal version at holde styr på. Det afgørende er, om jeres Microsoft 365-lejemål har Copilot aktiveret.
Hvad kan ske?
En medarbejder klikker på et link fra Copilot, der ser troværdigt ud, men som reelt sender vedkommende videre til en falsk side. Her kan angriberen opsamle login-oplysninger eller narre brugeren til at godkende adgang til virksomhedens data. Lykkes det, kan angriberen få adgang til fortrolige oplysninger, ændre data eller forstyrre driften, alt efter hvilke rettigheder den kaprede konto har.
Hvor alvorligt er det?
CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kan udføres over internettet uden at kræve login eller særlige rettigheder på forhånd, og det er teknisk enkelt at udføre. Der skal dog en brugerhandling til, typisk at nogen klikker på et link. Lykkes angrebet, er konsekvensen høj på alle tre parametre: fortrolighed, integritet og tilgængelighed af data. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Da sårbarheden ligger i en sky-tjeneste, er det Microsoft, der lukker selve hullet centralt. Jeres opgave er at sikre, at rettelsen er nået jeres lejemål, og at mindske risikoen for, at medarbejdere bliver franarret oplysninger i mellemtiden.
- Tjek i Microsoft 365 Message Center eller hos jeres it-leverandør, om rettelsen til Copilot Business Chat er rullet ud til jeres lejemål.
- Informér medarbejdere, der bruger Copilot, om at være ekstra opmærksomme på links i Copilot-svar, der beder om login eller godkendelse.
- Gennemgå logs for usædvanlig aktivitet på konti, der bruger Copilot, særligt uventede login-forsøg eller godkendelser af nye applikationer.
- Aktivér, hvis det ikke allerede er gjort, multifaktorgodkendelse på alle konti med adgang til Microsoft 365 og Copilot.
- Kontakt Auroa eller jeres it-leverandør, hvis I er i tvivl om, hvorvidt jeres lejemål er opdateret, eller hvis I opdager mistænkelig aktivitet.
Bekræft opdatering hos Microsoft snarest
Vi anbefaler, at I bekræfter hos jeres it-leverandør eller i Microsoft 365 Message Center, at rettelsen er anvendt på jeres lejemål, da Microsoft håndterer selve opdateringen. Sideløbende bør I minde medarbejdere om at være kritiske over for links, også dem der kommer fra Copilot. Er rettelsen bekræftet anvendt, og der ikke er tegn på mistænkelig aktivitet, er der ikke behov for yderligere akutte tiltag.
Tidslinje
Konkrete eksempler
Falsk godkendelseslink i Copilot-svar
En medarbejder i en dansk mellemstor virksomhed stiller et spørgsmål i Copilot Business Chat og modtager et svar med et link, der ser ud til at føre til en intern Microsoft 365-side. Linket omdirigerer i stedet til en falsk login-side, hvor medarbejderen taster sine legitimationsoplysninger. Angriberen bruger herefter oplysningerne til at få adgang til virksomhedens Microsoft 365-miljø og forsøger at hæve sine rettigheder.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis jeres organisation bruger Microsoft 365 Copilot med Business Chat-funktionen aktiveret. Det gælder for alle virksomheder med et Copilot-abonnement, uanset størrelse.
Hvordan tjekker vi, om vores lejemål er opdateret?
Tjek Microsoft 365 Message Center under jeres administratorportal, eller spørg jeres it-leverandør, om rettelsen til Copilot Business Chat er registreret som udrullet til jeres lejemål.
Skal vi selv installere en opdatering?
Nej. Sårbarheden ligger i en sky-tjeneste, som Microsoft retter centralt. I skal ikke installere noget lokalt, men I bør bekræfte, at rettelsen er nået frem til jer.
Kan vi vente til efter weekenden med at reagere?
Ja, det er sandsynligvis i orden, da der ikke er kendte tilfælde af udnyttelse på offentliggørelsestidspunktet, og rettelsen håndteres af Microsoft. Vent dog ikke med at informere medarbejdere om at være opmærksomme på mistænkelige links.
Skal vi anmelde noget til myndighederne?
Der er ikke krav om anmeldelse, medmindre I konstaterer, at nogen faktisk er blevet udsat for angrebet og data er kompromitteret. I så fald kan reglerne om databrud efter GDPR komme i spil.
Hvordan opdager vi, om nogen har misbrugt sårbarheden hos os?
Se efter usædvanlige login-forsøg, uventede godkendelser af nye applikationer eller ændringer i adgangsrettigheder på konti, der bruger Copilot. Kontakt jeres it-leverandør, hvis I finder noget mistænkeligt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Url redirection to untrusted site (‘open redirect’) in Microsoft 365 Copilot’s Business Chat allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.