CVE-2026-64900: XSS-sårbarhed i Microsoft SharePoint Server
Fejl i Microsoft SharePoint Server (CVE-2026-64900) kan bruges til at snyde brugere med falske scripts. Opdatér til nyeste version.
Hvad er det?
CVE-2026-64900 er en sårbarhed i Microsoft SharePoint Server, der skyldes såkaldt cross-site scripting, forkortet XSS. Det betyder, at SharePoint ikke renser input godt nok, når en side genereres, så en angriber kan indsætte ondsindet kode i en side. Når en anden bruger åbner siden, kører koden i vedkommendes browser og kan bruges til at udgive sig for at være en anden, en teknik kaldet spoofing. Angriberen skal have et gyldigt login med lave rettigheder i SharePoint og skal have offeret til at klikke på et bestemt link eller en bestemt side, før angrebet virker.
Hvem rammer det?
Sårbarheden rammer virksomheder, der selv drifter SharePoint Server on-premises: SharePoint Server 2016, SharePoint Server 2019 samt versioner før 16.0.19725.20522. Det gælder typisk kommuner, skoler og virksomheder med eget intranet eller dokumenthåndteringssystem baseret på SharePoint. SharePoint Online i Microsoft 365 er ikke omfattet, da Microsoft selv drifter og opdaterer den tjeneste.
Hvad kan ske?
En intern medarbejder eller en angriber med et lavt-privilegeret login kan lægge et ondsindet script ind på en SharePoint-side. Når en kollega eller leder åbner siden, kan scriptet stjæle sessions-oplysninger eller narre brugeren til at tro, den befinder sig et andet sted, for eksempel en falsk login-side. Det kan give angriberen adgang til flere systemer eller information, som brugeren ellers ikke ville dele.
Hvor alvorligt er det?
CVSS-scoren er 7,3 ud af 10, alvorlig. Angrebet kræver et gyldigt login med lave rettigheder og kræver, at et offer klikker på et link eller åbner en manipuleret side. Det kan udføres over netværket uden fysisk adgang. Fortrolighed og integritet vurderes til høj påvirkning, mens tilgængelighed ikke påvirkes. Der er ikke belæg for, at sårbarheden er udnyttet i angreb på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Installér Microsofts sikkerhedsopdatering, så SharePoint Server opgraderes til version 16.0.19725.20522 eller nyere.
- Gennemgå, hvem der har skriverettigheder til sider og lister i SharePoint, og fjern unødvendige rettigheder, da angrebet kræver et gyldigt login.
- Informér medarbejdere om ikke at klikke på links til interne SharePoint-sider fra ukendte afsendere, indtil opdateringen er installeret.
- Tjek logfiler for usædvanlig aktivitet fra brugerkonti med lave rettigheder i perioden op til opdateringen.
- Test opdateringen i et testmiljø, hvis I har tilpassede løsninger eller webdele i SharePoint, inden den rulles ud i produktion.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for tidsfristen.
Opdatér inden for 30 dage
Vi anbefaler, at I planlægger opdateringen af SharePoint Server ind i jeres næste vedligeholdelsesvindue, dog senest inden for 30 dage. Sårbarheden kræver login og brugerhandling, så risikoen er lavere end ved sårbarheder, der kan udnyttes uden interaktion, men konsekvensen ved misbrug er stadig alvorlig, fordi den rammer intern tillid og adgang. Det er kun forsvarligt at vente, hvis I samtidig strammer op på, hvem der har skriverettigheder i SharePoint, og informerer medarbejderne om at være opmærksomme på mistænkelige links.
Tidslinje
Konkrete eksempler
Falsk login-side på det interne intranet
En kommune bruger SharePoint Server som internt intranet. En medarbejder med en almindelig konto indsætter et ondsindet script på en nyhedsside. Da en leder senere åbner siden og klikker på et link, vises en falsk login-boks, der sender lederens loginoplysninger videre til angriberen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-64900?
I er ramt, hvis I drifter SharePoint Server 2016, 2019 eller en version før 16.0.19725.20522 lokalt hos jer selv. Brug SharePoint Online i Microsoft 365, er I ikke berørt, da Microsoft har ansvaret for den opdatering.
Hvordan tjekker vi, hvilken version af SharePoint vi kører?
Gå ind i SharePoint Central Administration eller kør PowerShell-kommandoen Get-SPFarm og se produktversionen. Sammenhold nummeret med 16.0.19725.20522 for at se, om I er opdateret.
Kan vi vente med at opdatere til weekenden eller næste servicevindue?
Ja, det er forsvarligt at vente til jeres næste planlagte vedligeholdelsesvindue, forudsat at det sker inden for cirka 30 dage. Der er ingen kendte angreb, der udnytter sårbarheden på offentliggørelsestidspunktet.
Skal vi anmelde noget til myndighederne, hvis vi bliver ramt?
Hvis I konstaterer et faktisk angreb, der har medført tab af persondata, skal I vurdere anmeldepligt efter databeskyttelsesforordningen til Datatilsynet inden for 72 timer. Selve sårbarheden uden konstateret misbrug udløser ikke i sig selv en anmeldepligt.
Kræver angrebet, at brugeren gør noget bestemt?
Ja. Angriberen skal have et gyldigt login med lave rettigheder, og offeret skal klikke på et link eller åbne en manipuleret side, for at scriptet aktiveres. Det gør angrebet sværere at udføre end sårbarheder, der virker helt uden interaktion.
Påvirker sårbarheden vores dokumenter eller data direkte?
Sårbarheden giver ikke direkte adgang til at slette eller ændre dokumenter. Den bruges til at narre brugere og stjæle sessions- eller loginoplysninger, som efterfølgende kan misbruges til at få adgang til data.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.