CVE-2026-54130: Kritisk fejl i M365 Copilot uden adgangskontrol

CVE-2026-54130 er en sårbarhed i M365 Copilot, Microsofts AI-assistent integreret i Microsoft 365. Fejlen skyldes en manglende adgangskontrol, det vil sige at en kritisk funktion ikke kræver godkendelse, før den udføres. Det betyder, at en angriber uden brugernavn eller adgangskode kan tilgå funktionen over internettet og få adgang til data, som normalt kun skulle være tilgængelige for godkendte brugere. Fejlen er registreret som CWE-306, som netop dækker over funktioner der mangler den nødvendige adgangskontrol.

Sårbarheden rammer organisationer, der bruger M365 Copilot som del af deres Microsoft 365-abonnement, herunder Copilot i Word, Excel, Outlook og Teams. Da Copilot er en cloud-tjeneste, er der ingen lokal version at holde styr på, det er Microsofts drift der afgør, om fejlen er rettet i jeres tenant, det vil sige jeres organisations lejemål i Microsofts sky.

En angriber kan uden login læse fortrolige oplysninger, som Copilot har adgang til, for eksempel dokumenter, mails eller chatbeskeder, der behandles af assistenten. For en dansk virksomhed kan det betyde, at kunde- eller medarbejderdata, kontrakter eller interne beslutninger bliver eksponeret for udenforstående, uden at nogen i organisationen har foretaget en fejl.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, det sker alene over netværket. Konsekvensen dækker fuld fortrolighed, integritet og tilgængelighed, det vil sige at data kan læses, ændres og systemet kan gøres utilgængeligt. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen.

Da M365 Copilot er en cloud-tjeneste, retter Microsoft typisk fejlen centralt, før den offentliggøres. Alligevel bør I følge disse skridt:

1. Bekræft, at jeres Microsoft 365-tenant er på den seneste driftsversion. Det gør I gennem Microsoft 365 admin center under service health og message center.
2. Gennemgå logs for Copilot-aktivitet for uventede eller unormale forespørgsler i perioden omkring offentliggørelsen.
3. Begræns Copilot-licenser og adgang til kun de medarbejdere, der har et konkret behov, indtil I har bekræftet status.
4. Informer it-support og relevante medarbejdere om at rapportere mistænkelig adfærd i Copilot-relaterede funktioner.
5. Kontakt Microsoft support eller en sikkerhedsrådgiver, hvis I ikke selv kan bekræfte, at jeres tenant er beskyttet, eller hvis I finder tegn på misbrug.