CVE-2026-62916: Kritisk hul i Microsoft Entra ID
Fejl i Microsoft Entra ID (CVE-2026-62916) gør det muligt at omgå login og få forhøjede rettigheder. Tjek jeres tenant-sikkerhed nu.
Hvad er det?
CVE-2026-62916 er en sårbarhed i Microsoft Entra ID, den cloud-baserede identitetstjeneste der tidligere hed Azure Active Directory og styrer login til Microsoft 365, Azure og mange andre tjenester. Fejlen er en autentificeringsomgåelse via en alternativ vej, det vil sige at en angriber kan komme uden om den normale login-proces ved at bruge en anden kanal end den, systemet er beregnet til at kontrollere. Resultatet er, at en uautoriseret person kan opnå forhøjede rettigheder i en organisations Entra ID-miljø uden at logge ind med gyldige oplysninger. Fejlen ligger i selve identitetstjenesten og ikke i en lokal server eller applikation.
Hvem rammer det?
Det rammer alle danske virksomheder og kommuner, der bruger Microsoft Entra ID til identitetsstyring, herunder alle organisationer med Microsoft 365, Azure eller Dynamics 365. Der er ikke angivet specifikke versioner, fordi Entra ID er en cloud-tjeneste, som Microsoft driver og opdaterer centralt. Alle tenants, altså jeres organisations dedikerede identitetsmiljø i Entra ID, er i udgangspunktet omfattet, indtil Microsoft har rullet en rettelse ud på alle regioner.
Hvad kan ske?
En angriber kan uden gyldigt login skaffe sig forhøjede rettigheder i jeres Entra ID-tenant. Det kan give adgang til fortrolige data som medarbejderoplysninger, kundedata eller forretningsdokumenter i SharePoint, OneDrive og Exchange Online. I værste fald kan angriberen opnå administratorrettigheder og dermed kontrol over hele identitetsmiljøet, herunder muligheden for at oprette nye konti eller ændre adgangsrettigheder for eksisterende brugere.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet uden lokal adgang. Det giver høj risiko for læk af fortrolige data og manipulation af oplysninger, men påvirker ikke i sig selv tilgængeligheden af systemerne. Der er ikke rapporteret aktiv udnyttelse i forbindelse med offentliggørelsen, men den lave kompleksitet gør sårbarheden attraktiv for angribere, så snart detaljer bliver kendt.
Hvad gør jeg nu?
Da fejlen ligger i Microsofts cloud-tjeneste, skal I ikke selv opdatere software, men I skal sikre, at jeres tenant er hærdet og overvåget, mens Microsoft ruller rettelsen ud.
- Følg Microsofts sikkerhedsmeddelelser for Entra ID og bekræft, at jeres tenant er omfattet af den udrullede rettelse.
- Gennemgå sign-in logs i Entra ID for usædvanlige login-mønstre, især forsøg uden gyldige loginoplysninger eller fra ukendte lokationer.
- Aktivér eller bekræft, at multifaktorgodkendelse og betingede adgangsregler (Conditional Access) er sat op for alle brugere, især administratorer.
- Kontrollér tildelte roller og privilegerede adgange via Privileged Identity Management, og fjern unødvendige rettigheder.
- Underret jeres it-driftsleverandør eller Microsoft-partner om, at I overvåger for denne specifikke sårbarhed.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om, om jeres tenant er fuldt beskyttet.
Tjek tenant-sikkerhed denne uge
Vi anbefaler, at I straks gennemgår login-logs og adgangsrettigheder i jeres Entra ID-tenant, da fejlen giver uautoriseret adgang uden login. Selve rettelsen sker hos Microsoft, men I bør bekræfte, at multifaktorgodkendelse og betingede adgangsregler er aktive, da det begrænser skaden uafhængigt af denne konkrete sårbarhed. Det er i orden at afvente Microsofts endelige udrulning af rettelsen, hvis I allerede har MFA og overvågning på plads, men vent ikke med at tjekke logs.
Tidslinje
Konkrete eksempler
Uautoriseret adgang i en dansk kommune
En dansk kommune bruger Microsoft Entra ID til at styre login for medarbejdere og adgang til Microsoft 365. En angriber udnytter den alternative autentificeringsvej til at omgå login og opnå forhøjede rettigheder i kommunens tenant. Angriberen får adgang til dokumenter i SharePoint med personoplysninger om borgere, uden at nogen medarbejder har klikket på noget eller afgivet oplysninger.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis I bruger Microsoft Entra ID til login, Microsoft 365, Azure eller Dynamics 365, er jeres tenant i udgangspunktet omfattet, indtil Microsoft har udrullet rettelsen globalt. I kan ikke selv se, om jeres specifikke tenant allerede er beskyttet, men I kan følge Microsofts sikkerhedsmeddelelser og tjekke jeres Microsoft 365-administrationscenter for status.
Skal vi selv installere en opdatering?
Nej. Entra ID er en cloud-tjeneste, som Microsoft driver og opdaterer centralt. I skal ikke installere noget lokalt, men I bør bekræfte jeres sikkerhedsindstillinger som beskrevet i handleplanen.
Kan vi vente til weekenden med at reagere?
Ja, hvis I allerede har multifaktorgodkendelse og betingede adgangsregler aktiveret for alle brugere. Har I ikke det, bør I ikke vente, da sårbarheden kan udnyttes uden login og uden brugerhandling.
Hvordan tjekker vi, om vi har været udsat for et angreb?
Gennemgå sign-in logs i Entra ID-administrationscenteret for login-forsøg fra ukendte lokationer, mislykkede autentificeringer med efterfølgende privilegerede handlinger, eller uventede ændringer i roller og adgange.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder konkrete tegn på, at fortrolige personoplysninger er blevet tilgået uautoriseret. Uden bevis for et faktisk databrud er der ikke anmeldepligt alene på grund af sårbarheden.
Påvirker det vores lokale Active Directory?
Nej, sårbarheden ligger i Microsofts sky-tjeneste Entra ID og ikke i en lokal Active Directory-server, som I selv driver. Har I en hybrid-opsætning med synkronisering til Entra ID, bør I dog stadig følge handleplanen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Authentication bypass using an alternate path or channel in Microsoft Entra ID allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.