CVE-2026-62836: Fejl i Azure SQL Managed Instance

CVE-2026-62836 er en fejl i Microsoft Azure SQL Managed Instance, en administreret udgave af SQL Server, som Microsoft driver i skyen. Fejlen kaldes i sikkerhedssprog en utilstrækkelig begrænsning af kommunikationskanaler (CWE-923). Det betyder, at tjenesten ikke sikrer godt nok, hvilke systemer der må tale sammen internt. En angriber kan udnytte det til at nå frem til kommunikationsveje, som ikke er beregnet til udefrakommende, og derved opnå højere rettigheder end tilsigtet.

Sårbarheden rammer virksomheder og kommuner, der bruger Azure SQL Managed Instance til at drifte databaser i Microsofts sky. Det gælder uanset hvilken version af selve databasen der køres, da fejlen ligger i den underliggende platform, Microsoft driver. Der kræves ingen adgangskode eller handling fra en bruger, for at fejlen kan udnyttes.

Lykkes angrebet, kan en ekstern part opnå adgang til data og rettigheder, som normalt kun er forbeholdt jeres egen databaseadministration. Fordi angrebet krydser den grænse, der normalt adskiller tjenester i skyen (scope ændret i CVSS-vurderingen), kan konsekvensen række ud over jeres eget miljø. Det kan betyde læsning og ændring af følsomme data, for eksempel kundeoplysninger eller CPR-numre, uden at det opdages med det samme.

CVSS-score er 8,7 ud af 10, hvilket er alvorligt. Angrebet kræver hverken login eller at en bruger klikker på noget, men det kræver høj angrebskompleksitet, altså at flere specifikke betingelser er opfyldt samtidig. Det gør angrebet sværere at udføre i praksis end en simpel fejl. Der er ikke observeret udnyttelse i det åbne på offentliggørelsesdatoen. Fejlen giver ikke mulighed for at lukke tjenesten ned (ingen påvirkning af tilgængelighed), men kan give adgang til at læse og ændre data.

Fordi Azure SQL Managed Instance er en skytjeneste, ligger den egentlige rettelse hos Microsoft. Jeres opgave er at sikre, at rettelsen er slået igennem, og at jeres egen opsætning ikke øger risikoen.

1. Tjek Azure Service Health og Microsofts sikkerhedsmeddelelser for jeres abonnement for at bekræfte, at rettelsen til CVE-2026-62836 er anvendt på jeres Managed Instance.
2. Gennemgå netværksregler og firewallindstillinger for jeres Managed Instance, så kun kendte og nødvendige IP-adresser og tjenester har adgang.
3. Gennemgå logning og revisionsspor for databasen for usædvanlig aktivitet i perioden op til og efter offentliggørelsen.
4. Bekræft, at rettighedstildeling i databasen følger princippet om mindste privilegium, så en eventuel eskalering giver mindst mulig skade.
5. Kontakt jeres Azure-partner eller Microsoft Support, hvis I ikke selv kan bekræfte, at rettelsen er anvendt, eller hvis I ser tegn på uregelmæssig aktivitet.