CVE-2026-63509: Kritisk sårbarhed i Microsoft Fabric
Kritisk fejl i Microsoft Fabric lader en bruger med lav adgang misbruge filstier til at få administratorrettigheder.
Hvad er det?
CVE-2026-63509 er en sårbarhed i Microsoft Fabric, Microsofts cloudplatform til dataanalyse, der samler Power BI, Data Factory og datalagring i ét miljø. Fejlen er en relativ filstitraversal (CWE-23), hvor en angriber kan bruge stimønstre som ‘../’ til at bevæge sig uden for den mappe eller ressource, systemet egentlig har givet adgang til. Fordi Fabric bygger på delte tenant-strukturer, kan en bruger med i forvejen begrænset adgang udnytte fejlen til at nå ressourcer og rettigheder, der hører til andre brugere eller til administratorer i samme organisation.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Microsoft Fabric, herunder virksomheder og kommuner med Power BI Premium-kapacitet eller Fabric-arbejdsområder til rapportering og datahåndtering. Da Fabric er en delt cloudtjeneste, er alle tenants, der har funktionen aktiveret, potentielt berørt, uanset virksomhedens størrelse. Der er ikke oplyst specifikke versionsnumre, fordi Fabric er en løbende opdateret cloudtjeneste og ikke software, kunderne selv installerer.
Hvad kan ske?
En medarbejder, ekstern samarbejdspartner eller gæstebruger med et almindeligt, begrænset Fabric-login kan udnytte fejlen til at opnå administratorrettigheder i tenanten. Det kan give adgang til andre afdelingers rapporter, finansdata eller persondata, som brugeren normalt ikke må se. For en dansk virksomhed betyder det risiko for brud på fortrolighed og GDPR, samt at en enkelt kompromitteret konto kan eskalere til fuld kontrol over dataplatformen.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, kritisk. Angrebet kræver kun lav adgang, altså et gyldigt, men begrænset login, og ingen handling fra andre brugere. Det kan udføres over netværket uden avanceret teknik. Der er pr. offentliggørelsesdatoen ikke registreret aktiv udnyttelse eller offentliggjort kode til at udnytte fejlen, men den lave adgangsbarriere gør risikoen reel, hvis rettigheder i Fabric ikke er strammet op.
Hvad gør jeg nu?
Fordi Microsoft Fabric er en cloudtjeneste, retter Microsoft selv den bagvedliggende fejl. Jeres opgave er at bekræfte status og lukke adgangsveje i mellemtiden.
- Tjek Microsoft 365 Message Center og servicehealth for jeres tenant for bekræftelse på, at rettelsen er udrullet til Fabric.
- Gennemgå alle Fabric-arbejdsområder og fjern eller nedgrader konti med unødvendig adgang, særligt gæstekonti og eksterne samarbejdspartnere.
- Aktiver eller gennemgå logning i Microsoft Purview audit log for at kunne se usædvanlig adfærd i Fabric-arbejdsområder.
- Informer dataejere af følsomme rapporter om at gennemgå, hvem der har adgang til deres data.
- Søg hjælp hos jeres Microsoft-partner eller en sikkerhedsrådgiver, hvis I ikke selv kan bekræfte patch-status eller vurdere jeres eksponering.
Bekræft patch-status inden 7 dage
Vi anbefaler, at I bekræfter over for Microsoft eller via servicehealth, at rettelsen er landet i jeres Fabric-tenant, og at I samtidig strammer op på adgangsrettigheder til arbejdsområder. Det er i orden at afvente selve den tekniske rettelse, da den håndteres af Microsoft, men adgangsgennemgangen bør ikke vente, fordi den lave adgangsbarriere gør fejlen relevant, uanset patch-status.
Tidslinje
Konkrete eksempler
Ekstern konsulent med adgang til ét arbejdsområde
En dansk kommune giver en ekstern BI-konsulent begrænset adgang til et enkelt Fabric-arbejdsområde til et konkret projekt. Konsulenten udnytter filstitraversalen til at bevæge sig ud af det tildelte område og får adgang til andre afdelingers rapporter med borgerdata. Kommunen opdager først forholdet, når en medarbejder undrer sig over usædvanlig adgang i loggen.
Ofte stillede spørgsmål
Er vi ramt, hvis vi bruger Power BI, men ikke selve Fabric-portalen?
Ja, potentielt. Power BI Premium-kapacitet er i dag tæt integreret med Fabric, så hvis jeres organisation har Fabric-funktioner aktiveret i baggrunden, er I omfattet. Tjek jeres administrationscenter for at se, om Fabric er aktivt.
Skal vi selv installere en opdatering?
Nej. Microsoft Fabric er en cloudtjeneste, og Microsoft retter fejlen på platformniveau. I skal i stedet bekræfte, at rettelsen er udrullet, og gennemgå jeres egne adgangsrettigheder.
Kan vi vente til weekenden med at reagere?
Ja, hvis I mener adgangsrettigheder til jeres Fabric-arbejdsområder allerede er stramme. Er der derimod mange gæstekonti eller eksterne med adgang, bør gennemgangen ske hurtigere, da fejlen kun kræver lav adgang for at udnyttes.
Hvordan ved vi, om sårbarheden er blevet udnyttet hos os?
Gennemgå audit log i Microsoft Purview for usædvanlige rettighedsændringer eller adgang til data uden for en brugers normale arbejdsområde. Kontakt jeres it-partner, hvis I ser mønstre, I ikke kan forklare.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I har konkret grund til at tro, at persondata er blevet tilgået uretmæssigt. Så længe der ikke er tegn på udnyttelse hos jer, er der ikke i sig selv anmeldelsespligt ved offentliggørelsen af sårbarheden.
Hvem har adgang til at bekræfte patch-status for os?
Jeres Microsoft 365-administrator kan se status i Message Center og servicehealth. Har I outsourcet it-drift, er det jeres it-partner, der bør bekræfte det over for jer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Relative path traversal in Microsoft Fabric allows an authorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.