CVE-2026-55020: XSS i Microsoft SharePoint Server
Microsoft har rettet en XSS-sårbarhed i SharePoint Server. Opdatér til version 16.0.19725.20434 eller nyere.
Hvad er det?
Cross-site scripting, XSS, er en sårbarhed hvor en angriber kan indsætte skadelig kode i en webside, som derefter køres i en anden brugers browser. CVE-2026-55020 findes i Microsoft SharePoint Server, hvor manglende rensning af inddata under generering af websider gør det muligt for en angriber med gyldigt login at udføre spoofing, altså få systemet til at vise falsk indhold eller efterligne en anden bruger. Fejlen kræver, at en anden bruger aktivt klikker eller udfører en handling, før koden aktiveres.
Hvem rammer det?
Sårbarheden rammer Microsoft SharePoint Server 2016 og 2019, samt alle versioner før 16.0.19725.20434. Det gælder virksomheder og kommuner, der kører SharePoint on-premises til intranet, dokumentdeling eller samarbejdsportaler. SharePoint Online i Microsoft 365 er ikke omfattet, da Microsoft har opdateret cloud-tjenesten centralt.
Hvad kan ske?
En angriber, der allerede har et lavt-privilegeret login til SharePoint, kan placere skadelig kode på en side. Når en anden bruger, for eksempel en kollega eller en administrator, besøger siden og foretager en handling som at klikke på et link, kan koden køre i deres browser. Det kan bruges til at efterligne en anden bruger eller vise falsk indhold, hvilket i praksis kan bane vejen for interne phishing-forsøg eller tillidsbrud på tværs af afdelinger.
Hvor alvorligt er det?
CVSS-score er 4,6 ud af 10, hvilket NVD betegner som moderat. Angrebet kræver netværksadgang, men også et gyldigt login med lave rettigheder, og at en anden bruger aktivt foretager en handling, for eksempel klikker på et link. Der er ingen indikation af, at sårbarheden er udnyttet i praksis. Konsekvensen er begrænset til fortrolighed og integritet på lavt niveau, uden konsekvens for systemets tilgængelighed.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér SharePoint Server til version 16.0.19725.20434 eller nyere via Microsofts sikkerhedsopdatering.
- Tjek jeres nuværende SharePoint-version i centraladministrationen for at bekræfte, om I er ramt.
- Gennemgå, hvem der har redigeringsrettigheder til sider og lister, og fjern unødvendig adgang.
- Informér brugere om ikke at klikke på ukendte links i interne SharePoint-sider, indtil opdateringen er installeret.
- Overvåg logfiler for usædvanlig aktivitet på SharePoint-serveren efter offentliggørelsen.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan teste eller installere opdateringen inden for jeres normale patch-vindue.
Opdatér inden for 30 dage
Vi anbefaler, at I installerer Microsofts sikkerhedsopdatering til SharePoint Server ved næste planlagte patch-vindue, da sårbarheden kræver login og brugerinteraktion og derfor ikke kan udnyttes direkte fra internettet. Det er acceptabelt at vente til jeres normale opdateringscyklus, hvis I samtidig begrænser redigeringsrettigheder og holder øje med logfiler. Har I mange eksterne eller løst administrerede brugere på jeres SharePoint, bør I prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Intern phishing via SharePoint-intranet
En kommunal medarbejder med adgang til at redigere nyheder på intranettet indsætter et skadeligt script i en nyhedsartikel. En kollega med højere rettigheder klikker på et link i artiklen, og scriptet udnytter dennes session til at vise falske oplysninger, der ligner en anmodning om login. Kollegaen indtaster sine oplysninger i god tro, og angriberen får dermed adgang til en konto med flere rettigheder end sin egen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-55020?
I er ramt, hvis I kører SharePoint Server 2016 eller 2019 lokalt i en version ældre end 16.0.19725.20434. Bruger I SharePoint Online i Microsoft 365, er I ikke ramt.
Hvordan tjekker vi vores SharePoint-version?
Log ind i SharePoint centraladministration og find versionsnummeret under systemindstillinger, eller kontakt den, der administrerer jeres server.
Kan vi vente til den næste planlagte opdatering?
Ja, da sårbarheden kræver et gyldigt login og en handling fra en anden bruger, kan I normalt vente til jeres faste patch-vindue, så længe det sker inden for kort tid.
Skal vi anmelde dette til Datatilsynet?
Der er ikke tale om et konstateret databrud, kun en sårbarhed. Anmeldelse er først relevant, hvis I finder tegn på faktisk misbrug af persondata.
Er sårbarheden udnyttet i praksis?
Der er ingen offentligt kendte tilfælde af udnyttelse på offentliggørelsesdatoen. Følg Microsofts opdateringer, hvis dette ændrer sig.
Påvirker det SharePoint Online?
Nej, Microsoft har allerede rettet cloud-versionen. Sårbarheden gælder kun on-premises-installationer af SharePoint Server.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20434
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.