CVE-2026-62874: Kritisk sårbarhed i Azure Billing
Kritisk fejl i Azure Billing giver angribere administratoradgang uden login. Undersøg jeres Azure-opsætning nu.
Hvad er det?
CVE-2026-62874 er en kritisk sårbarhed i Microsofts Azure Billing. Fejlen skyldes utilstrækkelig verificering af dataægthed, hvilket betyder, at systemet ikke kontrollerer, om de data, det modtager, faktisk stammer fra en betroet kilde. En angriber kan udnytte dette til at hæve sine egne rettigheder i Azure-miljøet uden at have et gyldigt login i forvejen. Fejlen kræver ingen særlig teknisk forberedelse og ingen handling fra jeres brugere.
Hvem rammer det?
Sårbarheden rammer alle organisationer, der anvender Azure Billing som del af deres Microsoft Azure-abonnement. Det gælder private virksomheder, offentlige institutioner og kommuner, der har workloads, abonnementer eller faktureringskonti i Azure. Der er ikke offentliggjort specifikke versioner, da Azure Billing er en cloudtjeneste, der styres af Microsoft.
Hvad kan ske?
En angriber, der udnytter fejlen, kan opnå forhøjede rettigheder i jeres Azure-miljø. I praksis betyder det, at uvedkommende kan få adgang til ressourcer på tværs af jeres Azure-abonnementer, ændre adgangsstyring, tilgå følsomme data eller manipulere med faktureringsopsætningen. For en dansk SMV eller kommune kan konsekvensen være datalæk, kompromitterede systemer og potentielt store uautoriserede skyomkostninger.
Hvor alvorligt er det?
CVSS-scoren er 10, som er den højest mulige. Angrebet kan gennemføres over netværket uden login og uden, at nogen af jeres brugere behøver at klikke på noget. Fejlen påvirker fortrolighed og integritet i høj grad. Der er endnu ikke bekræftet aktiv udnyttelse, men den lave angrebskompleksitet betyder, at truslen kan materialisere sig hurtigt, når CVE-id’et er offentliggjort.
Hvad gør jeg nu?
Da Azure Billing er en cloudtjeneste, kontrollerer Microsoft, hvornår en rettelse rulles ud. Jeres opgave er at reducere risikoen i mellemtiden og følge med i Microsofts kommunikation.
- Gennemgå jeres Azure-rolletildelinger via Azure Active Directory og fjern alle konti med unødvendige rettigheder til Billing og abonnementsadministration.
- Aktivér Microsoft Defender for Cloud, hvis det ikke allerede er aktivt, og tjek dashboardet for unormale adgangsforsøg eller rettighedsændringer.
- Slå diagnostiklogning til for Azure Billing og Azure Activity Log, og sæt alarmer op for ændringer i rolletildelinger.
- Hold øje med Microsoft Security Response Center for opdateringer om rettelsen til CVE-2026-62874, og anvend den så snart den er tilgængelig.
- Kontakt en ekstern sikkerhedskonsulent, hvis I opdager tegn på kompromittering, eller hvis I ikke har interne ressourcer til at gennemgå jeres Azure-opsætning.
Gennemgå adgangsstyring inden 24 timer
Vi anbefaler, at I straks gennemgår, hvem der har adgang til jeres Azure Billing og abonnementsadministration, og fjerner rettigheder, der ikke er strengt nødvendige. Da der endnu ikke er en officiel rettelse fra Microsoft, er begrænsning af adgang og aktiv overvågning det mest effektive forsvar lige nu. Det er ikke forsvarligt at vente, givet sårbarhedens maksimale CVSS-score og den lave angrebskompleksitet. Kontakt os, hvis I har brug for hjælp til at kortlægge jeres Azure-opsætning eller opsætte overvågning.
Tidslinje
Konkrete eksempler
Regnskabskontor med Azure-abonnement
Et dansk regnskabskontor med 25 ansatte bruger Azure til at hoste deres klientdatabase og filarkiv. En angriber udnytter CVE-2026-62874 til at hæve sine rettigheder i virksomhedens Azure-abonnement uden et gyldigt login. Angriberen får adgang til filarkivet med klientoplysninger og opretter nye administratorkonti, som giver vedvarende adgang. Virksomheden opdager det først, da Azure-regningen stiger uventet, og er nu forpligtet til at anmelde bruddet til Datatilsynet.
Ofte stillede spørgsmål
Er vi ramt, selvom vi kun bruger Azure til en enkelt tjeneste?
Ja, potentielt. Alle Azure-kunder med et aktivt abonnement har en Azure Billing-konto. Sårbarheden er knyttet til denne komponent, uanset hvilke specifikke Azure-tjenester I ellers benytter.
Hvordan tjekker vi, om nogen har udnyttet fejlen i vores miljø?
Gå til Azure-portalen og åbn Activity Log. Filtrer på handlinger relateret til rolletildelinger og faktureringskonti de seneste dage. Kig efter ændringer foretaget af konti, I ikke genkender, eller på tidspunkter uden for normal arbejdstid. Aktivér Azure Monitor-alarmer for fremover at blive notificeret automatisk.
Kan vi vente med at reagere, til Microsoft frigiver en opdatering?
Det fraråder vi. CVSS-scoren er 10, og angrebet kræver hverken login eller brugerhandling. Det tager typisk kort tid, fra en sårbarhed offentliggøres, til angribere begynder at afprøve den. Begræns adgang og opsæt overvågning nu, og anvend rettelsen, så snart Microsoft frigiver den.
Skal vi anmelde hændelsen til Datatilsynet, hvis vi opdager et angreb?
Ja, hvis angrebet har medført adgang til personoplysninger. Ifølge GDPR skal I anmelde brud på persondatasikkerheden til Datatilsynet inden 72 timer efter, at I er blevet bekendt med bruddet. Dokumentér, hvad der er tilgået, og hvornår I opdagede det.
Hvornår forventer Microsoft at frigive en rettelse?
Microsoft har endnu ikke offentliggjort en dato for en rettelse. Følg med på Microsoft Security Response Center på msrc.microsoft.com og i jeres Azure Service Health-dashboard for opdateringer specifikt rettet mod jeres abonnementer.
Hvad koster det at vente en uge?
Risikoen stiger markant, jo længere I venter. En angriber med forhøjede rettigheder i jeres Azure-miljø kan oprette nye ressourcer på jeres regning, tilgå følsomme data og slette eller kryptere systemer. De direkte og indirekte omkostninger ved et kompromitteret cloudmiljø overstiger langt de få timer, det kræver at gennemgå adgangsstyringen nu.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficient verification of data authenticity in Azure Billing allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.