CVE-2026-58644: Kritisk fejl i Microsoft SharePoint
Kritisk fejl i Microsoft SharePoint (CVE-2026-58644) giver angribere fuld kontrol over serveren uden login. Opdatér nu.
Hvad er det?
CVE-2026-58644 er en kritisk sårbarhed i Microsoft Office SharePoint, der bunder i usikker deserialisering. Deserialisering betyder, at et program omdanner data fra en fil eller netværksforbindelse tilbage til brugbare objekter i hukommelsen. Når SharePoint ikke kontrollerer, hvor disse data kommer fra, kan en angriber sende specielt formet data over netværket, som serveren fejlagtigt udfører som programkode. Fejlen er klassificeret som CWE-502 og giver en uautoriseret angriber mulighed for at afvikle vilkårlig kode på serveren uden at logge ind eller få en bruger til at klikke på noget.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører Microsoft SharePoint på egne servere, herunder danske virksomheder og kommuner med intranet, dokumentdeling eller sagsbehandlingssystemer bygget på SharePoint. Systemer, der er tilgængelige fra internettet eller fra et bredt internt netværk, er særligt udsatte, da angrebet sker over netværket uden krav om adgangskode.
Hvad kan ske?
En angriber, der udnytter fejlen, kan afvikle kode med SharePoint-serverens rettigheder. Det giver mulighed for at læse og ændre dokumenter, stjæle brugerdata og adgangskoder, installere skadelig software eller bruge serveren som springbræt til resten af netværket. For en dansk virksomhed eller kommune kan det betyde tab af fortrolige dokumenter, driftsstop og et databrud, der skal anmeldes.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste kategori. Angrebet kræver ingen adgangskode (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over netværket (AV:N) med lav kompleksitet. Konsekvensen for fortrolighed, integritet og tilgængelighed er fuld i alle tre kategorier. Der er ikke oplyst aktiv udnyttelse i det offentlige på offentliggørelsestidspunktet, men kombinationen af lav kompleksitet og ingen krav om login gør det sandsynligt, at sårbarheden hurtigt bliver et mål, når detaljer spredes.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Installér Microsofts sikkerhedsopdatering til SharePoint på alle berørte servere. Dette er det trin, der reelt lukker sårbarheden.
- Indtil opdateringen er installeret, begræns adgangen til SharePoint-serverne fra internettet, for eksempel via firewall-regler eller VPN.
- Gennemgå logfiler fra SharePoint-serverne for usædvanlig aktivitet i perioden efter offentliggørelsen, herunder uventede processer eller filoprettelser.
- Skift adgangskoder og servicekonti, der er tilknyttet SharePoint-serveren, hvis der er tegn på kompromittering.
- Kontrollér, at der er taget aktuelle sikkerhedskopier af SharePoint-data, inden opdateringen installeres.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv kan verificere, om serveren er opdateret korrekt, eller hvis I finder tegn på indbrud.
Opdatér inden for 24-48 timer
Vi anbefaler, at I installerer Microsofts sikkerhedsopdatering på alle SharePoint-servere så hurtigt som muligt, da fejlen kan udnyttes uden login og uden brugerhandling. Det er kun forsvarligt at vente, hvis serveren er fuldstændig isoleret fra netværk og internet, og selv da bør opdateringen planlægges inden for få dage. Er I i tvivl om, hvilke servere der er berørte, hjælper vi gerne med at kortlægge og prioritere opdateringen.
Tidslinje
Konkrete eksempler
Kommunal sagsbehandling går i stå
En dansk kommune bruger SharePoint til intern sagsbehandling og dokumentdeling mellem forvaltninger. En angriber udnytter CVE-2026-58644 til at afvikle kode på serveren og får adgang til borgersager samt medarbejderes adgangskoder. Kommunen må lukke systemet ned i flere dage for at undersøge omfanget og genoprette fra sikkerhedskopi, samtidig med at de vurderer anmeldelse til Datatilsynet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores SharePoint er ramt?
Tjek versionsnummeret på jeres SharePoint-server og sammenlign med Microsofts sikkerhedsoversigt for CVE-2026-58644. Er serveren ikke opdateret med den nyeste sikkerhedsopdatering fra offentliggørelsesdatoen, er den sandsynligvis sårbar.
Kan vi vente til den planlagte weekendopdatering?
Det er ikke anbefalet. Fejlen kræver ingen adgangskode eller brugerhandling, og en server, der er tilgængelig fra internettet eller et bredt internt netværk, bør opdateres uden for den normale opdateringscyklus.
Rammer det SharePoint Online i skyen?
Sårbarheden er beskrevet for Microsoft Office SharePoint. Er I i tvivl om, hvorvidt jeres opsætning omfatter en on-premises server eller kun den skybaserede tjeneste, bør I bekræfte det hos jeres it-leverandør eller Microsoft, da opdateringen primært retter sig mod egne installationer.
Hvad gør vi, hvis vi finder tegn på, at serveren allerede er kompromitteret?
Isolér serveren fra netværket, bevar logfiler til undersøgelse, og kontakt en ekstern sikkerhedsrådgiver. Er persondata involveret, skal I også vurdere, om der skal anmeldes til Datatilsynet.
Skal vi anmelde det til Datatilsynet?
Kun hvis I konstaterer, at persondata rent faktisk er blevet tilgået eller lækket som følge af udnyttelse af sårbarheden. Ren tilstedeværelse af en uopdateret server udløser ikke i sig selv en anmeldelsespligt.
Hvor lang tid tager det at installere opdateringen?
Selve installationen tager typisk under en time pr. server, men planlæg tid til test af SharePoint-funktionalitet bagefter, særligt hvis I har tilpassede løsninger eller integrationer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.