CVE-2026-47647: Kritisk fejl i Microsoft Dynamics 365

CVE-2026-47647 er en sårbarhed i Microsoft Dynamics 365, det cloudbaserede system til CRM og ERP, som mange danske virksomheder bruger til salg, kundeservice og økonomistyring. Fejlen skyldes mangelfuld adgangskontrol, det vil sige at systemet ikke tjekker rettigheder korrekt, når en bruger forsøger at udføre en handling. Det betyder, at en person med et almindeligt, lavt privilegeret brugerlogin kan skaffe sig rettigheder, som normalt kræver administratoradgang, og dermed få fat i data og funktioner uden for eget ansvarsområde.

Sårbarheden rammer organisationer, der bruger Microsoft Dynamics 365, uanset branche eller størrelse. Da Dynamics 365 er en cloudtjeneste, driver Microsoft selve infrastrukturen, men det er den enkelte virksomheds tenant, altså organisationens egen instans af tjenesten, og de brugerkonti, der er oprettet der, som er udsat. NVD angiver ikke specifikke moduler eller versionsnumre, da Dynamics 365 opdateres centralt af Microsoft.

En medarbejder eller ekstern samarbejdspartner med et almindeligt, gyldigt login kan i praksis ophøje sine egne rettigheder og få adgang til fortrolige kunde- og økonomidata, ændre poster eller slette information, som vedkommende normalt ikke må tilgå. For en dansk virksomhed kan det betyde læk af personoplysninger omfattet af GDPR, manipulerede fakturaer eller ordrer, og mistet tillid hos kunder og samarbejdspartnere.

Med en CVSS-score på 9,9 ud af 10 hører sårbarheden til blandt de mest alvorlige. Angrebet kræver et gyldigt, om end lavt privilegeret, brugerlogin, men ingen handling fra et offer og ingen særlig teknisk kompleksitet. Fordi angrebet kan udføres over netværket, kan brede sig ud over den oprindelige adgangsramme, og fuldt ud rammer fortrolighed, integritet og tilgængelighed, er konsekvensen potentielt fuld kompromittering af tenanten. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på tidspunktet for offentliggørelsen.

Følg punkterne nedenfor i rækkefølge:

1. Kontakt jeres Microsoft-partner eller tenant-administrator for at få bekræftet, at Microsoft har rullet rettelsen ud til jeres Dynamics 365-miljø.
2. Gennemgå brugerroller og rettigheder i Dynamics 365, og fjern overflødige eller forældede adgange.
3. Aktivér eller gennemgå logning, og hold øje med brugere, der pludselig tilgår data uden for deres normale rolle.
4. Skift adgangskoder og sikr, at multifaktorgodkendelse er slået til for alle konti med adgang til Dynamics 365.
5. Informer relevante medarbejdere om at rapportere mistænkelig adfærd i systemet.
6. Hent hjælp udefra, hvis I ikke selv har ressourcer til at verificere tenant-status eller gennemgå logs og rettigheder.