CVE-2026-55016: XSS-fejl i SharePoint Server
Sikkerhedsfejl i Microsoft SharePoint Server (CVE-2026-55016) kan snyde brugere via manipuleret indhold. Opdatér til nyeste version.
Hvad er det?
CVE-2026-55016 er en cross-site scripting-sårbarhed (XSS), en fejl hvor et system ikke renser brugerinput korrekt, så ondsindet kode kan vises som en del af en normal side. Fejlen findes i Microsoft SharePoint Server, som mange danske virksomheder og kommuner bruger til intranet og dokumentdeling. En bruger, der allerede har en konto med lave rettigheder, kan indsætte kode i en side, som udføres i en anden brugers browser, når vedkommende klikker på et link eller åbner et dokument.
Hvem rammer det?
Sårbarheden rammer Microsoft SharePoint Server 2016 og 2019 samt alle versioner før 16.0.19725.20434. Det gælder virksomheder og kommuner, der kører SharePoint on-premises, altså på egne servere eller i eget datacenter, ikke SharePoint Online i Microsoft 365.
Hvad kan ske?
En angriber, der allerede har en gyldig konto på SharePoint-serveren, kan narre en anden bruger til at udføre en handling eller udlevere oplysninger, ved at få vedkommendes browser til at vise falsk indhold, der ligner en ægte del af sitet. I praksis kan det bruges til at stjæle en session eller lokke en kollega til at indtaste adgangskode på et falsk login-felt, der ser ud til at høre til SharePoint.
Hvor alvorligt er det?
CVSS-scoren er 4,6 ud af 10, moderat. Angrebet kræver, at angriberen allerede har en gyldig konto med lave rettigheder på systemet, og at offeret klikker på et link eller udfører en handling. Der kræves ikke administratorrettigheder, og angrebet kan ske over netværket, men det virker ikke uden brugerinteraktion. Der er ingen tegn på, at sårbarheden aktivt udnyttes.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér SharePoint Server til version 16.0.19725.20434 eller nyere via Microsofts sikkerhedsopdatering.
- Kortlæg, hvilke SharePoint-servere i drift kører ældre versioner, herunder 2016 og 2019.
- Begræns, hvem der kan oprette eller redigere indhold på SharePoint, til betroede brugere, indtil opdateringen er installeret.
- Informér medarbejdere om at være opmærksomme på uventede login-anmodninger eller pop-ups på SharePoint-sider.
- Kontakt Auroa eller en anden it-sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I installerer opdateringen til SharePoint Server som en del af jeres almindelige opdateringscyklus, da sårbarheden kræver en logget ind bruger og brugerinteraktion for at kunne udnyttes. Det er ok at vente til næste planlagte vedligeholdelsesvindue, hvis I samtidig holder øje med Microsofts sikkerhedsmeddelelser og begrænser redigeringsrettigheder i mellemtiden.
Tidslinje
Konkrete eksempler
Falsk login på intranettet
En medarbejder i en dansk kommune modtager en e-mail med et link til et dokument på kommunens SharePoint-intranet. Linket udnytter sårbarheden til at vise et falsk login-felt, der ligner SharePoints eget, og medarbejderen indtaster sit brugernavn og kodeord, som derefter sendes til angriberen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører SharePoint Server 2016 eller 2019 on-premises i en version ældre end 16.0.19725.20434. SharePoint Online i Microsoft 365 er ikke berørt.
Hvordan tjekker vi vores version?
I kan se den installerede version under Central Administration, eller ved at køre kommandoen Get-SPFarm i SharePoint Management Shell.
Kan vi vente til weekenden med at opdatere?
Ja. Det er en moderat risiko, der kræver en logget ind bruger og brugerinteraktion, så I kan planlægge opdateringen til næste vedligeholdelsesvindue, så længe det sker inden for en overskuelig periode.
Skal vi anmelde dette til Datatilsynet?
Der er ikke belæg for, at sårbarheden i sig selv udløser anmeldelsespligt. Hvis I konstaterer, at den er blevet udnyttet til at få adgang til persondata, skal I vurdere anmeldelse efter databeskyttelsesreglerne.
Rammer det også SharePoint Online?
Nej. Sårbarheden gælder kun SharePoint Server on-premises, ikke SharePoint Online i Microsoft 365.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20434
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.