CVE-2026-55034: XSS-sårbarhed i Microsoft SharePoint Server
Sårbarhed i Microsoft SharePoint Server tillader cross-site scripting. Opdatér til nyeste version for at lukke hullet.
Hvad er det?
CVE-2026-55034 er en fejl i Microsoft SharePoint Server, hvor systemet ikke renser brugerinput korrekt, når det viser sider. Det kaldes cross-site scripting, eller XSS: en teknik, hvor en angriber kan indsætte skadelig kode i en side, som derefter køres i en anden brugers browser. En angriber, der allerede har et lavt-rettighedskonto på SharePoint, kan udnytte fejlen til at narre en anden bruger til at klikke på et link eller åbne en side. Det giver angriberen mulighed for at udgive sig for at være den ramte bruger og læse eller ændre data, den bruger har adgang til.
Hvem rammer det?
Sårbarheden findes i Microsoft SharePoint Server 2016, SharePoint Server 2019 og alle versioner af SharePoint Server før 16.0.19725.20434. Det rammer virksomheder og kommuner, der kører SharePoint lokalt, hvad enten det er til intranet, dokumentdeling eller samarbejde mellem afdelinger. SharePoint Online, altså den cloud-baserede udgave i Microsoft 365, er ikke omfattet, da Microsoft opdaterer den centralt.
Hvad kan ske?
En angriber med et almindeligt brugerkonto på SharePoint kan sende et link eller en besked til en kollega, som ser ud til at komme fra en betroet kilde. Klikker kollegaen på linket, kan angriberen udgive sig for kollegaen og få adgang til dokumenter, mails eller andre data, kollegaen har rettigheder til. For en dansk virksomhed betyder det risiko for, at fortrolige dokumenter, kontrakter eller HR-data kommer i de forkerte hænder, uden at det kræver et fysisk indbrud i systemet.
Hvor alvorligt er det?
CVSS-scoren er 7,3 ud af 10, hvilket er kategoriseret som alvorlig. Angrebet kræver, at angriberen allerede har et lavt-rettighedskonto på SharePoint, og at en anden bruger klikker på et link eller udfører en handling. Det gør angrebet sværere at udføre end en fuldstændig uautoriseret fejl, men stadig relevant, fordi mange virksomheder har flere hundrede aktive brugerkonti med adgang til SharePoint. Der er ikke registreret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg disse skridt for at lukke sårbarheden og begrænse risikoen, mens I opdaterer.
- Opdatér SharePoint Server til version 16.0.19725.20434 eller nyere via Microsofts sikkerhedsopdatering for SharePoint 2016 eller 2019.
- Gennemgå, hvem der har brugerkonti på SharePoint, og fjern konti, der ikke længere er i brug.
- Informér medarbejdere om ikke at klikke på uventede links i interne beskeder, selv fra kolleger, indtil opdateringen er gennemført.
- Aktivér logning af brugeraktivitet på SharePoint, så uventet adgang kan opdages efterfølgende.
- Test opdateringen i et testmiljø, hvis I har tilpassede webdele eller integrationer, før den rulles ud i produktion.
- Kontakt en it-sikkerhedspartner, hvis I ikke selv har ressourcer til at planlægge og gennemføre opdateringen inden for kort tid.
Opdatér inden for to uger
Vi anbefaler, at I opdaterer SharePoint Server til den rettede version inden for de kommende to uger, særligt hvis systemet er tilgængeligt for mange interne brugere. Det er i orden at vente til jeres næste planlagte vedligeholdelsesvindue, hvis det ligger inden for denne periode, da der ikke er kendt aktiv udnyttelse. Har I ikke selv kapacitet til at teste og udrulle opdateringen, hjælper vi gerne med planlægning og gennemførelse.
Tidslinje
Konkrete eksempler
Falsk dokumentlink i intranet
En medarbejder i en dansk kommune modtager et link via SharePoints interne beskedfunktion, som ser ud til at komme fra en kollega i økonomiafdelingen. Linket udnytter XSS-fejlen til at overtage medarbejderens session, hvorefter angriberen kan læse fortrolige budgetdokumenter, medarbejderen har adgang til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører SharePoint Server 2016 eller 2019 lokalt, altså ikke SharePoint Online i Microsoft 365. Tjek jeres nuværende versionsnummer i SharePoint Central Administration og sammenlign med 16.0.19725.20434.
Kan vi vente til weekenden med at opdatere?
Ja, det er acceptabelt, da der ikke er kendt aktiv udnyttelse af sårbarheden. Vi anbefaler dog at gennemføre opdateringen inden for de næste to uger og ikke skubbe den længere ud.
Kræver angrebet, at nogen klikker på noget?
Ja. Angriberen skal have et gyldigt brugerkonto på SharePoint, og en anden bruger skal klikke på et link eller udføre en handling, før angrebet fungerer. Det gør det sværere at udnytte end fejl, der virker helt uden interaktion.
Hvordan tjekker vi, om sårbarheden allerede er udnyttet hos os?
Gennemgå logs for uventet adgang til dokumenter eller ændringer i brugerrettigheder omkring datoer, hvor mistænkelige links kan være delt internt. Kontakt en sikkerhedspartner, hvis I ikke har erfaring med logganalyse.
Skal vi anmelde dette til en myndighed?
Der er ikke krav om anmeldelse, alene fordi sårbarheden findes. Har I konstateret et faktisk sikkerhedsbrud med udnyttelse af sårbarheden, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, og I bør vurdere det konkret.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20434
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.