CVE-2026-64897: XSS-fejl i Microsoft SharePoint Server
En sårbarhed i Microsoft SharePoint Server (CVE-2026-64897) kan bruges til at plante falske login-billeder. Opdatér til nyeste version.
Hvad er det?
CVE-2026-64897 er en sårbarhed i Microsoft SharePoint Server, der skyldes cross-site scripting: et angreb hvor ondsindet kode gemmes på en webside og bliver kørt i browseren hos den, der senere besøger siden. Fejlen ligger i den måde SharePoint viser brugerindhold på, så en logget-ind bruger med lave rettigheder kan indsætte kode, der senere narrer en anden bruger, for eksempel med et falsk login-vindue. Angrebet kræver, at offeret klikker på et link eller åbner et bestemt indhold, det sker ikke automatisk ved almindelig browsing.
Hvem rammer det?
Sårbarheden findes i Microsoft SharePoint Server 2016 og 2019, samt Subscription Edition i versioner før 16.0.19725.20522. Det rammer virksomheder og kommuner, der kører SharePoint som intranet eller dokumentdelingsplatform on-premises, altså installeret på egne servere og ikke SharePoint Online i Microsoft 365. Alle med en SharePoint-installation i de nævnte versioner bør tjekke, om de er ramt.
Hvad kan ske?
En bruger med et gyldigt, men begrænset login til SharePoint kan indsætte skadelig kode i en side, en liste eller et dokumentbibliotek. Når en kollega senere åbner siden og klikker på et link, kan koden vise et falsk login-felt eller en falsk besked, der narrer kollegaen til at afgive adgangskoder eller andre oplysninger. Det giver ikke direkte adgang til systemet, men kan bruges til at stjæle legitimationsoplysninger internt, hvilket ofte er første skridt i et større angreb.
Hvor alvorligt er det?
CVSS-score er 4,6, hvilket er moderat risiko. Angrebet kræver, at angriberen allerede har et lavt rettighedsniveau i SharePoint, og at offeret klikker på noget, det sker ikke automatisk. Konsekvensen er begrænset til, at fortrolighed og integritet kan påvirkes i lav grad, tilgængeligheden af systemet påvirkes ikke. Der er ingen kendte tilfælde af aktiv udnyttelse eller offentliggjort angrebskode på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Sårbarheden er lukket med en officiel opdatering fra Microsoft. Gør følgende:
- Opdatér SharePoint Server til version 16.0.19725.20522 eller nyere, eller den tilsvarende sikkerhedsopdatering for jeres 2016- eller 2019-installation.
- Tjek den aktuelle version i SharePoint Central Administration, så I ved, om I allerede er dækket.
- Gennemgå, hvem der har rettigheder til at redigere sider, lister og dokumentbiblioteker, og begræns til det nødvendige.
- Informér medarbejdere om ikke at klikke på uventede links eller indtaste adgangskoder i pop-op-vinduer på intranettet.
- Kontakt Auroa eller jeres it-leverandør, hvis I ikke selv kan planlægge og teste opdateringen inden for kort tid.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I installerer opdateringen som en del af jeres normale patch-cyklus, da sårbarheden kræver både et gyldigt login og en brugerhandling for at blive udnyttet. Det er acceptabelt at vente til næste planlagte opdateringsvindue, forudsat at I samtidig strammer op på, hvem der kan redigere indhold i SharePoint. Har I mange eksterne eller løst tilknyttede brugere med redigeringsrettigheder, bør I prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Falsk login på kommunens intranet
En medarbejder i en kommune med redigeringsrettigheder til en SharePoint-liste indsætter et stykke skadelig kode i en listepost. En kollega klikker senere på et link til listen og ser et falsk login-felt, hvor hun uforvarende indtaster sin adgangskode. Koden sender adgangskoden videre til angriberen, som nu kan bruge den til at logge ind andre steder i organisationen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-64897?
I er ramt, hvis I kører SharePoint Server 2016, 2019 eller Subscription Edition i en version ældre end 16.0.19725.20522 on-premises. SharePoint Online i Microsoft 365 er ikke berørt.
Hvordan tjekker vi vores version?
Åbn SharePoint Central Administration eller Windows PowerShell på serveren og se produktversionen. Sammenlign med den rettede version 16.0.19725.20522.
Kan vi vente til weekenden med at opdatere?
Ja, sårbarheden kræver et gyldigt login og en aktiv handling fra offeret, så der er ikke akut behov for et hasteindgreb. Vent ikke længere end til jeres næste planlagte opdateringsvindue.
Kræver angrebet, at angriberen har adgang til vores system i forvejen?
Ja, angriberen skal have et gyldigt, om end lavt privilegeret, login til SharePoint for at kunne indsætte den skadelige kode.
Skal vi anmelde dette til Datatilsynet?
Kun hvis sårbarheden faktisk er udnyttet og har medført et brud på personoplysninger. Selve tilstedeværelsen af en sårbarhed uden kendt udnyttelse udløser ikke i sig selv en anmeldelsespligt.
Påvirker opdateringen tilgængeligheden af SharePoint?
Opdateringen kræver typisk en genstart af serveren eller tjenesten, så planlæg installationen uden for normal arbejdstid for at minimere driftspåvirkning.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.