CVE-2026-62829: XSS-sårbarhed i Microsoft SharePoint Server
Sårbarhed i Microsoft SharePoint Server tillader scriptindsprøjtning (CVE-2026-62829). Opdatér til nyeste version.
Hvad er det?
CVE-2026-62829 er en fejl i Microsoft SharePoint Server, hvor systemet ikke renser inddata korrekt, når det genererer websider. Det kaldes cross-site scripting, forkortet XSS, og betyder, at en angriber kan indsætte skadelig kode i en side, som derefter køres i en anden brugers browser. Fejlen bruges til at narre brugere til at tro, de interagerer med en legitim del af SharePoint, mens de faktisk udleverer oplysninger eller udfører handlinger på angriberens vegne. Angrebet kræver, at angriberen allerede har et login til systemet med lave rettigheder, og at en anden bruger klikker på et link eller udfører en handling.
Hvem rammer det?
Fejlen rammer virksomheder og kommuner, der kører SharePoint Server on-premise, altså installeret på egne servere frem for SharePoint Online i Microsoft 365. Konkret gælder det versioner ældre end 16.0.19725.20522 samt SharePoint Server 2019. Har I en intranetløsning eller dokumentdelingsplatform baseret på SharePoint Server internt i organisationen, er I potentielt berørt.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med et almindeligt, lavt rettighedsniveau i SharePoint kan indsætte skadelig kode i en side. Når en anden bruger, for eksempel en leder eller en person i HR, besøger siden og udfører en handling, kan koden narre vedkommende til at afgive login-oplysninger eller udføre en uønsket handling. Det kan i praksis føre til, at angriberen får adgang til flere systemer eller oplysninger, end de lave rettigheder normalt tillader.
Hvor alvorligt er det?
CVSS-score er 4,6, hvilket er moderat. Angrebet kræver login med lave rettigheder på forhånd og kræver, at en anden bruger aktivt klikker eller interagerer med det manipulerede indhold. Der er ikke krav om høje rettigheder, og fejlen kan udnyttes over netværk uden avancerede tekniske forudsætninger. Der er ingen oplysninger om, at fejlen aktivt udnyttes i angreb på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér SharePoint Server til version 16.0.19725.20522 eller nyere, hvis I kører en ældre version.
- Har I SharePoint Server 2019, installér den tilhørende sikkerhedsopdatering fra Microsoft.
- Gennemgå adgangsrettigheder i SharePoint og fjern konti, der ikke længere har brug for adgang.
- Informér medarbejdere om at være opmærksomme på uventede links eller pop-ups i SharePoint, indtil opdateringen er gennemført.
- Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for få uger.
Opdatér inden for 30 dage
Vi anbefaler, at I planlægger opdateringen som en del af jeres almindelige opdateringscyklus, da sårbarheden kræver flere forudsætninger, før den kan udnyttes. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, så længe det sker inden for de kommende uger, og I i mellemtiden holder øje med usædvanlig aktivitet i SharePoint. Kører I en ældre, ikke-understøttet version, bør I samtidig vurdere en opgradering.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto misbruges internt
En medarbejder i en dansk virksomhed falder for en phishing-mail og får sit SharePoint-login stjålet. Angriberen bruger den lave rettighed til at indsætte skadelig kode på en delt side i intranettet. En leder i HR klikker senere på siden, og koden udnytter lederens session til at hente yderligere oplysninger, som angriberen ikke selv havde adgang til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører SharePoint Server on-premise i en version ældre end 16.0.19725.20522, eller hvis I bruger SharePoint Server 2019 uden den nyeste sikkerhedsopdatering. Bruger I kun SharePoint Online i Microsoft 365, er I ikke direkte berørt af denne konkrete fejl.
Hvordan finder vi ud af, hvilken version vi kører?
I kan finde versionsnummeret under central administration i SharePoint eller ved at kontakte jeres it-leverandør, som administrerer serveren. Versionsnummeret sammenholdes med 16.0.19725.20522 for at afgøre, om opdatering er nødvendig.
Kan vi vente til weekenden med at opdatere?
Ja, det kan I typisk godt. Sårbarheden kræver, at en angriber allerede har et login med lave rettigheder, og at en anden bruger aktivt interagerer med skadeligt indhold. Det gør et hurtigt, tilfældigt angreb mindre sandsynligt, men opdateringen bør stadig planlægges inden for kort tid.
Skal vi anmelde noget til myndighederne?
Der er ikke oplysninger om, at fejlen aktivt udnyttes. Konstaterer I misbrug eller uautoriseret adgang som følge af denne sårbarhed, kan det være omfattet af jeres almindelige beredskabsplan for it-sikkerhedshændelser, og I bør vurdere, om det udløser anmeldelsespligt efter databeskyttelsesreglerne.
Påvirker opdateringen vores eksisterende SharePoint-opsætning?
Sikkerhedsopdateringer fra Microsoft til SharePoint Server ændrer normalt ikke funktionaliteten markant, men vi anbefaler altid at teste opdateringen i et testmiljø, hvis I har et, inden den installeres i produktion.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.