CVE-2026-62839: Sårbarhed i Microsoft SharePoint Server
Fejl i Microsoft SharePoint Server kan afsløre loginoplysninger til en angriber med lav adgang. Opdatér til nyeste version.
Hvad er det?
CVE-2026-62839 er en sårbarhed i Microsoft SharePoint Server, hvor loginoplysninger ikke beskyttes godt nok internt i systemet. Fejltypen kaldes CWE-522, utilstrækkeligt beskyttede legitimationsoplysninger. En angriber, der allerede har et almindeligt brugerlogin på SharePoint-serveren, kan udnytte fejlen over netværket til at udgive sig for at være en anden bruger, kaldet spoofing. Angrebet kræver ingen handling fra offeret, og det kræver ikke høje rettigheder, kun en gyldig lavpriviligeret konto.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der driver egen SharePoint Server on-premise, altså installeret på egne servere frem for SharePoint Online i Microsoft 365. Konkret er følgende versioner ramt: SharePoint Server 2016, SharePoint Server 2019, og SharePoint Server (Subscription Edition) i versioner ældre end 16.0.19725.20522. Danske organisationer med eget intranet, dokumentdeling eller sagsstyring i SharePoint bør tjekke deres version.
Hvad kan ske?
Lykkes angrebet, kan en angriber med en almindelig medarbejderkonto skaffe sig oplysninger, der gør det muligt at udgive sig for en anden bruger i systemet. I praksis kan det bruges til at tilgå fortrolige dokumenter, personalesager eller kundedata under falsk identitet, uden at det nødvendigvis opdages med det samme. Fejlen ændrer ikke data og lukker ikke systemet ned, men den kan afsløre følsomme oplysninger og undergrave tilliden til, hvem der reelt har foretaget en handling i systemet.
Hvor alvorligt er det?
CVSS-score er 6,5 ud af 10, moderat risiko. Angrebet kræver et login med lave rettigheder, men ingen handling fra brugeren, og det kan udføres over netværket. Konsekvensen er begrænset til fortrolighed, altså at oplysninger kan læses eller misbruges, mens data-integritet og systemets drift ikke påvirkes. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse af sårbarheden i virkeligheden, og der er ikke offentliggjort kode, der demonstrerer angrebet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér SharePoint Server til version 16.0.19725.20522 eller nyere via Microsofts sikkerhedsopdatering, det lukker sårbarheden direkte.
- Gennemgå, hvem der har almindelige brugerkonti på SharePoint-serveren, og fjern konti, der ikke længere er i brug.
- Aktivér eller gennemgå logning af login og adgang på SharePoint-serveren, så I kan se usædvanlig aktivitet efterfølgende.
- Kræv to-faktor-login til SharePoint, hvis det ikke allerede er sat op, så en kompromitteret kode ikke alene giver adgang.
- Informér it-driftsansvarlig om, at opdateringen er kritisk for on-premise SharePoint-servere, ikke SharePoint Online.
- Er I i tvivl om, hvilken version I kører, eller om opdateringen er testet korrekt i jeres miljø, så få en ekstern konsulent til at verificere det.
Opdatér ved næste planlagte vindue
Vi anbefaler, at I planlægger opdateringen til jeres SharePoint Server inden for de næste par uger, da der endnu ikke er set aktiv udnyttelse. Er jeres SharePoint tilgængelig for eksterne brugere eller partnere, bør opdateringen prioriteres højere. I kan vente med at hastebehandle det, hvis serveren kun er tilgængelig internt og adgangen er stærkt begrænset, men bør stadig sætte det på den kommende opdateringsplan.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejderkonto misbruges til at læse fortrolige sager
En dansk kommune driver sagsbehandling internt i en SharePoint Server 2019-installation. En medarbejders login stjæles gennem et phishing-forsøg, altså et forsøg på at franarre login via falsk e-mail. Med den lavpriviligerede konto udnytter angriberen CVE-2026-62839 til at udgive sig for en anden, mere betroet bruger og tilgår fortrolige personalesager, uden at det umiddelbart udløser en alarm i systemet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I driver SharePoint Server on-premise, altså på egne eller hostede servere, i version 2016, 2019 eller Subscription Edition ældre end 16.0.19725.20522. Bruger I udelukkende SharePoint Online i Microsoft 365, er I ikke berørt af denne konkrete sårbarhed.
Hvordan tjekker vi vores version?
Log ind i SharePoint Central Administration eller kontakt jeres it-driftsleverandør og bed om at få oplyst den installerede build-version. Sammenlign den med 16.0.19725.20522 for at se, om I er opdateret.
Kan vi vente til den næste planlagte vedligeholdelse?
Ja, hvis der ikke er tegn på angreb, og adgangen til SharePoint-serveren er begrænset til betroede medarbejdere. Er serveren tilgængelig for et bredere netværk eller eksterne partnere, bør I fremrykke opdateringen.
Kræver angrebet et brugernavn og kodeord?
Ja, angriberen skal have en gyldig konto med almindelige, lave rettigheder på SharePoint-serveren i forvejen. Sårbarheden kan altså ikke udnyttes af en helt udenforstående uden nogen adgang.
Skal vi anmelde hændelsen til myndighederne?
Der er ikke tale om en konstateret sikkerhedshændelse, kun en sårbarhed der bør rettes. Finder I tegn på, at nogen faktisk har misbrugt fejlen til at tilgå persondata, kan det udløse en anmeldelsespligt efter databeskyttelsesreglerne, og I bør kontakte jeres databeskyttelsesrådgiver.
Påvirker opdateringen driften af SharePoint?
Sikkerhedsopdateringer fra Microsoft kræver typisk en genstart af serveren og bør testes i et testmiljø, hvis I har et sådant, inden de rulles ud i produktion.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficiently protected credentials in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.