CVE-2026-50517: Kritisk sårbarhed i M365 Copilot
Kritisk fejl i M365 Copilot lader en logget ind bruger køre vilkårlig kode. Tjek at Microsofts rettelse er aktiv, og begræns Copilot-adgang.
Hvad er det?
CVE-2026-50517 er en sårbarhed i M365 Copilot, Microsofts AI-assistent i Microsoft 365. Fejlen skyldes usikker deserialisering, det vil sige at systemet omdanner modtagne data til programobjekter uden at kontrollere, om dataene er tillidsværdige. Hvis en angriber sender manipulerede data, kan systemet blive narret til at udføre kode, som angriberen har bestemt. CWE-502 er den tekniske betegnelse for denne type fejl.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger M365 Copilot i deres Microsoft 365-miljø. Det gælder både virksomheder og kommuner med Copilot-licenser. Da M365 Copilot er en skjuletjeneste, som Microsoft driver, er der ingen lokal version, I selv skal opgradere. Angrebet kræver dog en gyldig, om end lavt privilegeret, konto i jeres tenant.
Hvad kan ske?
En angriber med adgang til en almindelig medarbejderkonto kan udnytte fejlen til at få systemet til at køre kode, angriberen selv har bestemt. Fordi sårbarheden har ændret omfang (scope changed), kan konsekvensen række ud over selve Copilot-funktionen og påvirke andre dele af jeres Microsoft 365-miljø, herunder data, mails og filer. I praksis kan det betyde tab af fortrolige oplysninger, ændring af data eller nedbrud af tjenester.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion, men kræver, at angriberen allerede har en konto med lave rettigheder i systemet. Kompleksiteten er lav, så et vellykket angreb er teknisk enkelt at gennemføre, når først en konto er kompromitteret. Der er på offentliggørelsestidspunktet ingen kendte tilfælde af aktiv udnyttelse eller offentliggjort angrebskode.
Hvad gør jeg nu?
Fordi M365 Copilot er en tjeneste, Microsoft drifter centralt, er den vigtigste handling at sikre, at rettelsen fra Microsoft er aktiv i jeres tenant.
- Bekræft via Microsoft 365 Admin Center eller jeres Microsoft-partner, at Microsofts sikkerhedsopdatering til denne sårbarhed er anvendt på jeres tenant.
- Gennemgå, hvilke medarbejdere der har adgang til Copilot, og begræns adgangen til dem, der reelt har brug for den.
- Undersøg logon- og revisionslogge for usædvanlig aktivitet fra Copilot-relaterede konti i perioden op til og efter 24. juli 2026.
- Skærp kontrollen med kompromitterede konti, herunder tvungen adgangskodeskift og multifaktorgodkendelse, da angrebet kræver en gyldig konto.
- Kontakt Microsoft support eller en sikkerhedsrådgiver som Auroa, hvis I er i tvivl om, hvorvidt jeres tenant er opdateret, eller hvis I finder mistænkelig aktivitet.
Bekræft Microsofts rettelse hurtigst muligt
Vi anbefaler, at I bekræfter med Microsoft eller jeres it-partner, at rettelsen til CVE-2026-50517 er anvendt på jeres tenant, og at I samtidig strammer op på, hvem der har Copilot-adgang. Da fejlen kræver en gyldig konto for at kunne udnyttes, bør I også se på jeres generelle kontosikkerhed, herunder multifaktorgodkendelse. Det er i orden at vente med de øvrige tiltag til en almindelig arbejdsdag, så længe I har bekræftet, at den centrale rettelse er på plads.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto bruges som indgang
En medarbejder i en dansk produktionsvirksomhed falder for et phishing-forsøg og afgiver sine loginoplysninger. Angriberen logger ind med kontoen og udnytter derefter deserialiseringsfejlen i M365 Copilot til at få systemet til at udføre kode med udvidede rettigheder. Herfra får angriberen adgang til virksomhedens delte dokumenter og mailkonti, selvom den oprindelige konto kun havde begrænsede rettigheder.
Ofte stillede spørgsmål
Er vi ramt, hvis vi bruger M365 Copilot?
Hvis jeres organisation har Copilot-licenser aktiveret i Microsoft 365, kan I i princippet være berørt. Da Microsoft driver tjenesten centralt, afhænger det af, om rettelsen allerede er rullet ud til jeres tenant.
Skal vi selv installere en opdatering?
Nej, M365 Copilot er en skytjeneste, som Microsoft opdaterer centralt. I skal ikke installere noget lokalt, men bør bekræfte status via Microsoft 365 Admin Center eller jeres partner.
Kan vi vente til weekenden med at reagere?
Ja, forudsat at I hurtigt kan bekræfte, at Microsofts rettelse er aktiv. Er I i tvivl om status, bør I undersøge det med det samme, da sårbarheden er kritisk vurderet.
Hvordan tjekker vi, om vores tenant er opdateret?
Kontakt Microsoft support eller jeres Microsoft-partner og bed om bekræftelse af, at rettelsen til CVE-2026-50517 er anvendt på jeres tenant. I kan også følge Microsofts sikkerhedsbulletiner for Copilot.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået eller ændret uretmæssigt. Uden tegn på udnyttelse er der ikke grundlag for en anmeldelse, men gennemgå jeres logge for at være sikre.
Kræver angrebet, at nogen klikker på noget?
Nej. Sårbarheden kræver ingen brugerinteraktion, men den kræver, at angriberen allerede har en gyldig konto med lave rettigheder i jeres miljø.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Deserialization of untrusted data in M365 Copilot allows an authorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.