CVE-2026-55021: XSS-fejl i Microsoft SharePoint Server
Fejl i Microsoft SharePoint Server gør det muligt at snyde brugere via manipuleret indhold. Opdatér til rettet version.
Hvad er det?
CVE-2026-55021 er en sårbarhed i Microsoft SharePoint Server, der skyldes en fejl kaldet cross-site scripting (XSS). Det betyder, at systemet ikke renser brugerinput korrekt, når det viser en side. En angriber kan derfor indsætte ondsindet kode i indhold, som andre brugere senere ser i deres browser. Koden kan bruges til at narre brugeren, for eksempel ved at få en side til at ligne noget andet end den er, så brugeren afgiver oplysninger til det forkerte sted. Fejlen ligger i selve SharePoint-serveren, som mange danske virksomheder og kommuner bruger til dokumentdeling og intranet.
Hvem rammer det?
Sårbarheden rammer Microsoft SharePoint Server 2016, SharePoint Server 2019 og alle versioner før 16.0.19725.20434. Det gælder virksomheder og kommuner, der driver SharePoint on-premise, altså på egne eller hostede servere, ikke SharePoint Online i Microsoft 365. Alle brugere med adgang til at oprette eller redigere indhold i SharePoint kan i princippet blive brugt som indgang til angrebet.
Hvad kan ske?
En angriber, der allerede har et almindeligt brugerlogin til SharePoint, kan placere en manipuleret side eller et manipuleret link i systemet. Når en anden bruger, for eksempel en kollega eller en leder, klikker på linket eller åbner siden, kan angriberen få adgang til fortrolige oplysninger eller narre brugeren til at udføre en handling, som brugeren ikke har til hensigt. Angrebet kan bruges til at stjæle sessionsoplysninger eller til at få medarbejdere til at indtaste adgangskoder på en falsk side, der ligner den rigtige.
Hvor alvorligt er det?
CVSS-score er 7,3 ud af 10, hvilket er alvorligt. Angrebet kræver, at angriberen har et lavt privilegeret login til SharePoint på forhånd, og at offeret klikker på et link eller åbner en manipuleret side. Der skal altså både en gyldig konto og en brugerhandling til, hvilket gør angrebet vanskeligere at gennemføre end en fuldautomatisk fejl, men fortroligheden og integriteten af data er i høj risiko, hvis det lykkes. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, indtil opdateringen er på plads.
- Opdatér SharePoint Server til version 16.0.19725.20434 eller nyere via Microsoft Update eller jeres normale opdateringskanal.
- Gennemgå, hvilke brugere der har rettigheder til at oprette eller redigere sider og lister i SharePoint, og fjern unødvendige rettigheder.
- Informér medarbejdere om ikke at klikke på uventede links eller åbne mistænkeligt indhold i SharePoint, selv fra kollegaer.
- Tjek logfiler for usædvanlig aktivitet fra brugerkonti i perioden op til opdateringen, hvis det er muligt.
- Er SharePoint driftet af en ekstern leverandør eller et hostingfirma, så bed dem bekræfte, at opdateringen er installeret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere versionsnummeret, eller hvis I mistænker, at sårbarheden allerede er udnyttet.
Opdatér ved næste planlagte vindue
Vi anbefaler, at I opdaterer jeres SharePoint Server til den rettede version i forbindelse med næste planlagte vedligeholdelsesvindue, da angrebet kræver både login og brugerhandling og derfor ikke er den mest kritiske type sårbarhed. I bør dog ikke udsætte opdateringen længere end nødvendigt, da SharePoint ofte har mange interne brugere med adgang til at oprette indhold. Det er kun forsvarligt at vente, hvis I samtidig begrænser, hvem der kan redigere sider i systemet.
Tidslinje
Konkrete eksempler
Falsk login-side i internt intranet
En medarbejder i en dansk kommune med almindelig redigeringsadgang til intranettet indsætter et manipuleret link i en nyhedsartikel på SharePoint. En kollega klikker på linket og bliver ledt til en side, der ligner kommunens normale login, men i virkeligheden sender adgangskoden videre til angriberen. Angriberen bruger herefter kontoen til at tilgå følsomme dokumenter i systemet.
Ofte stillede spørgsmål
Er vores SharePoint ramt?
I er ramt, hvis I kører SharePoint Server 2016, 2019 eller en version før 16.0.19725.20434 on-premise. SharePoint Online i Microsoft 365 er ikke berørt af denne sårbarhed.
Hvordan tjekker vi vores versionsnummer?
Versionsnummeret kan findes i SharePoints centraladministration under systemindstillinger, eller ved at spørge den, der drifter jeres SharePoint-installation, hvis det er outsourcet.
Kan vi vente med opdateringen til weekenden?
Ja, i de fleste tilfælde er det forsvarligt, da angrebet kræver et gyldigt brugerlogin og en aktiv handling fra offeret. Vent dog ikke længere end til næste planlagte vedligeholdelsesvindue.
Skal vi anmelde noget til myndighederne?
Der er ikke pligt til anmeldelse, medmindre I konstaterer et faktisk angreb, der medfører brud på persondata. I så fald gælder de almindelige regler om anmeldelse til Datatilsynet inden for 72 timer.
Kan angrebet ske uden brugerinteraktion?
Nej. Sårbarheden kræver, at en bruger klikker på et link eller åbner en manipuleret side, samt at angriberen har et lavt privilegeret login til systemet på forhånd.
Påvirker sårbarheden vores data direkte?
Sårbarheden giver ikke angriberen adgang til at ændre eller slette data direkte, men den kan bruges til at narre brugere til at afsløre oplysninger som adgangskoder, hvilket indirekte kan give adgang til data.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20434
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.