CVE-2026-62825: Kritisk autentificeringsfejl i Azure Key Vault

CVE-2026-62825 er en fejl i Azure Key Vault, Microsofts skytjeneste til opbevaring af hemmeligheder, certifikater og krypteringsnøgler. Fejlen skyldes forkert autentificering, forklaret ved at tjenesten i visse tilfælde ikke verificerer en brugers eller tjenestes identitet korrekt, før den giver adgang. Det betyder, at en angriber kan opnå forhøjede rettigheder i jeres Azure-miljø uden at logge ind først. Fejlen er kategoriseret som CWE-287, som dækker over mangelfuld autentificering generelt. Da Key Vault er en central tjeneste, som mange andre systemer stoler på, kan en kompromittering herfra sprede sig til flere dele af jeres skyinfrastruktur.

Det rammer alle danske virksomheder og kommuner, der bruger Azure Key Vault til at opbevare adgangskoder, API-nøgler, certifikater eller krypteringsnøgler for deres applikationer og tjenester. Da Key Vault er en fælles, Microsoft-driftet tjeneste og ikke software, I selv installerer, er der ingen specifik lokal version at holde styr på. Relevant er det for organisationer, der bruger Azure til webapplikationer, API’er, virksomhedssystemer eller integrationer, hvor Key Vault indgår i adgangsstyringen.

En angriber, der udnytter fejlen, kan ikke læse indholdet af jeres Key Vault direkte, men kan ændre eller slette hemmeligheder, certifikater og nøgler og dermed forstyrre driften af de systemer, der afhænger af dem. I praksis betyder det, at en webshop eller et fagsystem pludselig mister adgang til sin database eller sine certifikater, fordi de underliggende nøgler er blevet manipuleret. Forhøjede rettigheder kan også bruges som springbræt til at få adgang til andre ressourcer i jeres Azure-miljø.

Sårbarheden har den højeste CVSS-score, 10 ud af 10. Den kan udnyttes over netværket uden at kræve login eller nogen handling fra en bruger, og angrebet er ikke teknisk kompliceret at udføre. Konsekvensen er høj for både integritet og tilgængelighed, altså evnen til at ændre data og evnen til at holde systemer kørende, men der er ingen direkte risiko for, at angriberen kan læse fortrolige oplysninger. Der er ikke oplysninger om, at fejlen er udnyttet aktivt på offentliggørelsestidspunktet.

Da Azure Key Vault er en tjeneste, Microsoft selv drifter og opdaterer, ligger den tekniske rettelse hos Microsoft. Jeres opgave er at verificere jeres eget miljø og reagere, hvis noget ser mistænkeligt ud.

1. Tjek Azure Service Health og Microsoft Defender for Cloud for meddelelser om, at rettelsen er udrullet til jeres abonnement.
2. Gennemgå adgangslogs for jeres Key Vault-instanser for usædvanlig eller uventet aktivitet i perioden omkring offentliggørelsen.
3. Verificer jeres adgangspolitikker og rollebaseret adgangsstyring, så kun nødvendige konti og tjenester har adgang til Key Vault.
4. Roter hemmeligheder, certifikater og nøgler, hvis I finder tegn på uautoriseret adgang.
5. Aktivér logning og alarmer for Key Vault, hvis det ikke allerede er sat op, så fremtidige hændelser opdages hurtigt.
6. Kontakt Microsoft support eller en ekstern sikkerhedsrådgiver, hvis I finder mistænkelig aktivitet eller er i tvivl om jeres konfiguration.