CVE-2026-63516: Sårbarhed i Microsoft SharePoint Server

CVE-2026-63516 er en sårbarhed i Microsoft SharePoint Server, der skyldes usikker deserialisering. Deserialisering betyder, at systemet omdanner modtagne data tilbage til programkode, og når det sker uden ordentlig kontrol af, om dataen er troværdig, kan en angriber sende specielt udformede data, som SharePoint fejlagtigt behandler som gyldige. I dette tilfælde gør fejlen det muligt for en angriber, der allerede har et lavt-privilegeret login til SharePoint, at udgive sig for at være en anden bruger eller tjeneste (spoofing) og derved få adgang til fortrolige oplysninger. Fejlen kræver ingen handling fra en anden bruger, kun at angriberen har adgang til systemet over netværket.

Sårbarheden rammer organisationer, der kører Microsoft SharePoint Server som on-premises løsning, altså installeret på egne servere eller i eget datacenter. Det gælder SharePoint Server 2016, SharePoint Server 2019 samt alle versioner før 16.0.19725.20522. SharePoint Online i Microsoft 365 er ikke berørt, da Microsoft selv opdaterer den tjeneste. Mange danske kommuner, forsyningsselskaber og mellemstore virksomheder bruger SharePoint Server til intranet, dokumenthåndtering og sagsbehandling, og disse installationer bør tjekkes.

En angriber med et almindeligt, lavt-privilegeret medarbejderlogin kan udnytte fejlen til at udgive sig for en anden bruger eller tjeneste og dermed læse data, som vedkommende ikke burde have adgang til. I praksis kan det betyde adgang til personoplysninger, HR-dokumenter, kontrakter eller andet fortroligt materiale, der ligger i SharePoint. Fejlen giver ikke mulighed for at ændre data eller lukke systemet ned, men lækage af fortrolige oplysninger kan i sig selv udløse pligt til at underrette Datatilsynet, hvis der er tale om personoplysninger.

CVSS-scoren er 6,5 ud af 10, hvilket svarer til moderat risiko. Angrebet kræver, at angriberen allerede har et gyldigt, lavt-privilegeret login til SharePoint, men kræver ingen handling fra andre brugere og kan udføres over netværket. Konsekvensen er begrænset til fortrolighed, altså adgang til data man ikke burde se, mens systemets integritet og tilgængelighed ikke påvirkes. Der er ikke rapporteret om aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen på offentliggørelsestidspunktet.

Følgende trin bør gennemføres for at lukke hullet og begrænse risikoen:

1. Opdatér SharePoint Server til version 16.0.19725.20522 eller nyere, eller installér den relevante sikkerhedsopdatering til SharePoint 2016 og 2019, som Microsoft har udgivet.
2. Gennemgå, hvilke brugere der har adgang til SharePoint, og fjern konti og rettigheder, som ikke længere er nødvendige.
3. Tjek logfiler for usædvanlig aktivitet fra lavt-privilegerede konti, særligt forsøg på at tilgå indhold uden for normale rettigheder.
4. Sørg for, at SharePoint-servere ikke er unødvendigt eksponeret på internettet, og begræns adgang via VPN eller netværkssegmentering, hvor det er muligt.
5. Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for kort tid, eller hvis I er i tvivl om, hvorvidt jeres installation er sårbar.