CVE-2026-63508: Kritisk fejl i Microsoft Planetary Computer Pro

CVE-2026-63508 er en sårbarhed i Microsoft Planetary Computer Pro, en Azure-baseret platform til geodata og satellitbilleder, som blandt andet bruges til analyse af landbrug, miljø og infrastruktur. Fejlen skyldes en manglende adgangskontrol på en kritisk funktion i systemet, klassificeret som CWE-306. Det betyder, at en funktion, der normalt burde kræve login eller rettigheder, kan tilgås uden nogen form for godkendelse. En angriber kan udnytte dette til at hæve sine rettigheder i systemet, alene ved at sende forespørgsler over netværket, uden brugernavn, adgangskode eller interaktion fra en bruger.

Sårbarheden rammer organisationer, der anvender Microsoft Planetary Computer Pro til at gemme, dele eller analysere geospatiale data. Det kan være kommuner med GIS-baseret sagsbehandling, forsyningsselskaber, landbrugsvirksomheder eller miljøkonsulenter, der bruger platformen til satellitdata og kortlægning. Der er ikke angivet specifikke versionsnumre i denne sag, da Planetary Computer Pro er en cloudtjeneste, hvor Microsoft driver og opdaterer den underliggende infrastruktur.

En angriber uden adgang til systemet kan udnytte den manglende autentificering til at hæve sine rettigheder og få adgang til data, som ellers er beskyttet. I praksis kan det betyde, at fortrolige geodata, kortlægninger eller analyser bliver læst eller ændret af uvedkommende. For en dansk virksomhed kan det føre til, at følsomme placeringsdata, ejendomsoplysninger eller miljømålinger kommer i forkerte hænder, eller at data bliver manipuleret, så beslutninger baseres på forkerte informationer.

Sårbarheden har den højeste CVSS-score, 10 ud af 10, og er kategoriseret som kritisk. Den kan udnyttes over netværket, kræver ingen forudgående rettigheder og ingen handling fra en bruger. Angrebet er desuden markeret med ændret scope, hvilket betyder, at det kan påvirke andre dele af systemet end selve den sårbare funktion. Fortrolighed og integritet er ramt i højeste grad, mens tilgængeligheden ikke påvirkes. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes på offentliggørelsesdatoen, men den lave kompleksitet gør den enkel at udnytte, hvis en angriber finder den.

Da Microsoft Planetary Computer Pro er en cloudtjeneste, ligger ansvaret for selve opdateringen hos Microsoft. I skal derfor fokusere på at sikre jeres egen konfiguration og opdagelse af misbrug.

1. Kontrollér, at jeres Azure-tenant og Planetary Computer Pro-installation kører den nyeste udgivne konfiguration, og følg Microsofts sikkerhedsmeddelelser for tjenesten.
2. Gennemgå adgangslogge for uautoriserede kald til administrative eller privilegerede funktioner i platformen.
3. Begræns netværksadgangen til tjenesten via firewallregler eller privat netværksadgang, så kun kendte IP-adresser og systemer kan tilgå den.
4. Rotér nøgler og adgangstokens, der bruges til integration med Planetary Computer Pro, som en forholdsregel.
5. Informér relevante medarbejdere, der arbejder med geodata, om at holde øje med uventede ændringer i data eller adgangsrettigheder.
6. Kontakt Microsofts support eller en sikkerhedsrådgiver, hvis I er i tvivl om, hvorvidt jeres opsætning er påvirket, eller hvis I finder tegn på misbrug.