CVE-2026-48579: Autorisationsfejl i Exchange Online
En sårbarhed i Microsoft Exchange Online lader en angriber uden login læse fortrolige data. Tjek jeres logs, opdateringen ruller Microsoft selv ud.
Hvad er det?
CVE-2026-48579 er en fejl i Microsoft Exchange Online, hvor systemet ikke tjekker rettigheder korrekt, når data skal udleveres. Det kaldes en autorisationsfejl (CWE-285): systemet kontrollerer ikke tilstrækkeligt, om den, der spørger, faktisk må se de oplysninger, der bliver udleveret. En angriber på internettet kan udnytte fejlen uden at logge ind og uden at nogen bruger klikker på noget. Fejlen giver adgang til fortrolige oplysninger, men ikke til at slette eller lukke systemet ned.
Hvem rammer det?
Sårbarheden findes i Microsoft Exchange Online, altså den del af Microsoft 365, der håndterer e-mail i skyen. Alle danske virksomheder og kommuner, der bruger Exchange Online til postkasser, er omfattet. Der er ikke tale om en lokal server, I selv skal opdatere, men om den cloud-udgave, Microsoft driver og vedligeholder.
Hvad kan ske?
En angriber kan i praksis få adgang til at læse fortrolige e-mails, kontaktoplysninger eller andre data, som burde være afskærmet. For en dansk virksomhed betyder det risiko for lækage af kundedata, personoplysninger eller forretningshemmeligheder. Da fejlen kan udnyttes uden login, kan den også ramme organisationer, der ellers har styr på adgangskoder og totrinsgodkendelse.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan ske over netværket, kræver ingen rettigheder på forhånd og ingen handling fra en bruger. Konsekvensen er høj risiko for læk af fortrolige oplysninger og for at data ændres, mens systemets tilgængelighed ikke påvirkes. Der er ved offentliggørelsen ingen kendte tilfælde af aktiv udnyttelse, men den lave kompleksitet gør fejlen attraktiv at forsøge at udnytte.
Hvad gør jeg nu?
Fordi Exchange Online er en cloud-tjeneste, installerer I ikke selv en opdatering. Microsoft retter fejlen i deres infrastruktur, men I bør stadig handle:
- Tjek Microsoft 365-administrationscenterets meddelelsescenter for sikkerhedsadvarsler om denne CVE og bekræft, at rettelsen er rullet ud til jeres tenant.
- Gennemgå log for postkasseadgang og sign-in-log for usædvanlig aktivitet i perioden op til og efter offentliggørelsen.
- Bekræft, at betinget adgang og totrinsgodkendelse er aktiveret for alle konti, så andre svagheder ikke forstærker risikoen.
- Gennemgå regler for datatab og adgangsrettigheder til følsomme postkasser og delte mapper.
- Hold øje med Microsofts sikkerhedsopdateringer for opfølgende oplysninger om sagen.
- Kontakt jeres it-sikkerhedspartner, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om jeres logs.
Tjek tenant og logs inden for få dage
Vi anbefaler, at I bekræfter i Microsoft 365-administrationscenteret, at rettelsen er anvendt på jeres tenant, og at I samtidig gennemgår logs for mistænkelig postkasseadgang. Da fejlen ligger i en cloud-tjeneste, som Microsoft selv retter, er der ikke en opdatering, I skal installere, men det er ikke i orden at vente en hel uge med at tjekke logs, hvis I håndterer følsomme data. Er I i tvivl om, hvordan I læser logs for uautoriseret adgang, hjælper vi gerne med gennemgangen.
Tidslinje
Konkrete eksempler
Uautoriseret indblik i kundekorrespondance
En dansk servicevirksomhed bruger Exchange Online til al kundekorrespondance. En ekstern angriber udnytter autorisationsfejlen til at læse e-mails i en postkasse uden at kende login-oplysninger. Fordi angrebet ikke kræver, at en medarbejder klikker på noget, opdages det først, da en usædvanlig adgang dukker op i loggen ved en rutinegennemgang.
Ofte stillede spørgsmål
Skal vi selv installere en opdatering?
Nej. Exchange Online er en cloud-tjeneste, som Microsoft drifter og opdaterer centralt. I skal bekræfte, at rettelsen er nået til jeres tenant, men I installerer ikke noget selv.
Hvordan ved vi, om vi er ramt?
Gennemgå sign-in-log og postkasseadgangslog i Microsoft 365 for usædvanlig aktivitet, især adgang fra ukendte IP-adresser eller på skæve tidspunkter. Microsofts meddelelsescenter kan også vise, om jeres organisation er berørt.
Kan vi vente med at tjekke til efter weekenden?
Selve rettelsen kommer fra Microsoft, men vi anbefaler ikke at vente med at gennemgå logs, hvis I behandler personoplysninger eller fortrolige forretningsdata. Jo hurtigere I tjekker, jo hurtigere kan I afkræfte eller bekræfte misbrug.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder konkrete tegn på, at fortrolige personoplysninger faktisk er blevet tilgået uretmæssigt. Uden tegn på misbrug er der ikke grundlag for en anmeldelse, men bevar jeres logs som dokumentation.
Påvirker fejlen andre Microsoft 365-tjenester end e-mail?
Sårbarheden er beskrevet specifikt for Exchange Online. Der er ikke belæg for, at den påvirker andre tjenester som Teams eller SharePoint, men generel årvågenhed om unormal adgang på tværs af Microsoft 365 er altid fornuftig.
Ramte produkter
Microsoft: Exchange Online
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper authorization in Microsoft Exchange Online allows an unauthorized attacker to disclose information over a network.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.