CVE-2026-57105: XSS-fejl i Microsoft SharePoint Server
Alvorlig XSS-sårbarhed i Microsoft SharePoint Server (CVE-2026-57105) kan bruges til at udgive sig for andre brugere. Opdatér til rettet version.
Hvad er det?
CVE-2026-57105 er en sårbarhed af typen cross-site scripting (XSS), hvor systemet ikke renser inputfelter korrekt, når det genererer websider. Fejlen findes i Microsoft SharePoint Server, som mange danske virksomheder og kommuner bruger til intranet, dokumentdeling og samarbejde. En angriber, der allerede har et lav-privilegeret login til SharePoint, kan indsætte skadelig kode i en side eller liste. Når en anden bruger med højere rettigheder besøger siden og udfører en handling, køres koden i deres browser. Det gør det muligt for angriberen at udgive sig for en anden bruger, kaldet spoofing, og dermed narre systemet eller kolleger til at tro, en handling kommer fra en legitim person.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Microsoft SharePoint Server on-premise, altså den udgave I selv installerer og drifter på egne eller lejede servere. Konkret er Microsoft SharePoint Server 2019 og alle versioner før 16.0.19725.20522 ramt. SharePoint Online, som er en del af Microsoft 365 og driftes af Microsoft, er ikke berørt af denne sårbarhed. Er I i tvivl om, hvilken udgave I bruger, kan I finde versionsnummeret under Central Administration i SharePoint.
Hvad kan ske?
Fordi sårbarheden giver mulighed for spoofing, kan en angriber narre en kollega eller leder til at tro, en besked, godkendelse eller anmodning kommer fra en legitim person eller system. I praksis kan det bruges til at få en medarbejder til at godkende en falsk faktura, dele loginoplysninger eller udføre en handling, de ellers ikke ville have gjort. Da fortrolighed, integritet og tilgængelighed alle er ramt med høj vurdering, kan et succesfuldt angreb også bruges til at stjæle sessionsoplysninger og dermed overtage en brugers adgang til SharePoint.
Hvor alvorligt er det?
CVSS-scoren er 8,0 ud af 10, hvilket er alvorligt. Angrebet kræver netværksadgang, men ikke fysisk adgang til serveren. Angriberen skal have et lav-privilegeret login til SharePoint i forvejen, og et offer skal udføre en handling, for eksempel klikke på et link eller besøge en manipuleret side. Der er ikke offentligt kendte tilfælde af udnyttelse endnu, men fejlen er teknisk enkel at udnytte, når først angriberen har adgang og et offer klikker.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer.
- Installer Microsofts sikkerhedsopdatering til SharePoint Server, så I når version 16.0.19725.20522 eller nyere.
- Kortlæg alle SharePoint Server-installationer i organisationen og tjek versionsnummeret på hver af dem.
- Begræns, hvem der har redigeringsrettigheder til sider og lister, indtil opdateringen er udrullet.
- Informer medarbejdere om at være opmærksomme på uventede links eller anmodninger på SharePoint-sider.
- Overvåg logfiler for usædvanlig aktivitet på SharePoint-serveren i perioden efter offentliggørelsen.
- Kontakt en sikkerhedspartner, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for få dage.
Opdatér inden for 14 dage
Vi anbefaler, at I installerer opdateringen til SharePoint Server hurtigst muligt og prioriterer servere, hvor mange interne brugere eller eksterne partnere har adgang. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, hvis det ligger inden for en uge, og I i mellemtiden begrænser, hvem der kan redigere sider og lister. Har I ikke overblik over jeres SharePoint-version, bør I få det afklaret, før I beslutter jer for at vente.
Tidslinje
Konkrete eksempler
Falsk godkendelse i SharePoint
En medarbejder i en dansk kommune med adgang til at redigere en projektside indsætter skadelig kode i et felt. En afdelingsleder med højere rettigheder besøger siden og klikker på et link for at godkende et dokument. Koden køres i lederens browser og udgiver sig for lederens identitet, hvilket får systemet til at godkende en ændring, lederen ikke selv har foretaget.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-57105?
I er ramt, hvis I kører Microsoft SharePoint Server 2019 eller en version før 16.0.19725.20522 on-premise. SharePoint Online i Microsoft 365 er ikke berørt.
Hvordan finder vi vores SharePoint-version?
Log ind i SharePoint Central Administration, eller bed jeres it-leverandør finde versionsnummeret under systemindstillinger eller via kommandoen Get-SPFarm i PowerShell.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I i mellemtiden begrænser antallet af brugere med redigeringsrettigheder og overvåger for usædvanlig aktivitet. Vent ikke længere end en uge, da sårbarheden er offentligt kendt.
Er sårbarheden udnyttet i angreb, vi kender til?
Der er ikke offentligt rapporterede tilfælde af udnyttelse på offentliggørelsesdatoen, men det kan ændre sig, når flere angribere analyserer opdateringen.
Skal vi anmelde noget til Datatilsynet?
Kun hvis et konkret angreb har medført brud på personoplysninger. Sårbarheden i sig selv udløser ikke en anmeldelsespligt, men et udnyttet angreb med datatab kan gøre det.
Hvad er cross-site scripting helt konkret?
Det er en teknik, hvor en angriber får et system til at vise og køre kode, der ikke burde være der, typisk i en anden brugers browser. Her betyder det, at en ondsindet bruger kan snyde andre til at tro, en handling kommer fra en betroet person.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.