CVE-2026-64902: XSS-fejl i Microsoft SharePoint Server
Fejl i Microsoft SharePoint Server kan bruges til at snyde brugere via indlejret kode. Opdatér til nyeste build.
Hvad er det?
CVE-2026-64902 er en sårbarhed i Microsoft SharePoint Server, der skyldes mangelfuld rensning af data, når en side genereres. Det kaldes cross-site scripting (XSS), og betyder, at en angriber kan gemme kode i et felt på en SharePoint-side, som derefter afvikles i browseren hos den, der besøger siden. I dette tilfælde bruges fejlen til at udgive sig for at være en anden, altså spoofing, over netværket. Angriberen skal have en gyldig, men lavt rettighedssat, brugerkonto på SharePoint-serveren og skal have offeret til at foretage en handling, for eksempel klikke på et link eller åbne en side.
Hvem rammer det?
Sårbarheden rammer Microsoft SharePoint Server som lokal installation: SharePoint Server 2016, SharePoint Server 2019 og SharePoint Server Subscription Edition i versioner ældre end build 16.0.19725.20522. Det gælder virksomheder og kommuner, der driver deres eget intranet eller dokumentdelingsplatform på egne eller hostede servere. SharePoint Online, som en del af Microsoft 365, er ikke omfattet.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med en almindelig, lavt privilegeret konto kan placere skadelig kode i en liste, et dokumentbibliotek eller et andet felt på SharePoint-siden. Når en kollega med højere rettigheder eller adgang til fortrolige data åbner samme side, kan koden vise et falsk login-vindue eller en falsk besked, der ser ud til at komme fra SharePoint selv. Formålet er typisk at franarre brugernavn, adgangskode eller andre oplysninger, uden at offeret opdager det.
Hvor alvorligt er det?
CVSS-scoren er 4,6 ud af 10, hvilket NVD vurderer som moderat risiko. Angrebet kræver netværksadgang, men også at angriberen allerede har en lavt privilegeret konto på systemet, og at offeret aktivt foretager en handling, for eksempel klikker på et link. Det gør fejlen mindre farlig end en sårbarhed, der kan udnyttes uden login. Der er ingen oplysninger om, at fejlen aktivt udnyttes i angreb på tidspunktet for offentliggørelsen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen i mellemtiden:
- Opdatér SharePoint Server til build 16.0.19725.20522 eller nyere via Microsoft Update eller jeres normale patch-proces. Dette lukker selve fejlen.
- Tjek den aktuelle build-version på jeres SharePoint-servere for at bekræfte, om de er berørt.
- Gennemgå, hvilke interne og eksterne konti der har skriveadgang til lister og dokumentbiblioteker, og fjern adgang, der ikke er nødvendig.
- Informér medarbejdere om at være forsigtige med uventede login-vinduer eller links på interne SharePoint-sider, indtil opdateringen er installeret.
- Log og overvåg usædvanlig aktivitet fra brugerkonti med lave rettigheder i perioden op til opdateringen.
- Kontakt os, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen på jeres SharePoint-miljø.
Opdatér ved næste planlagte vedligeholdelse
Vi anbefaler, at I opdaterer SharePoint Server til den rettede build som en del af jeres normale patch-cyklus, da sårbarheden kræver både en gyldig konto og en handling fra offeret, og derfor ikke udgør en akut trussel. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, forudsat at I i mellemtiden begrænser adgangen til at redigere indhold på jeres SharePoint-sider til betroede brugere.
Tidslinje
Konkrete eksempler
Falsk login-boks på intranettet
En dansk kommune bruger SharePoint Server 2019 til sit interne intranet. En ekstern konsulent med en almindelig medarbejderkonto lægger et redigeret dokument op med skjult kode i et kommentarfelt. Da en HR-medarbejder senere åbner dokumentet, vises et falsk login-vindue, der ligner SharePoints eget, og medarbejderen indtaster sit brugernavn og sin adgangskode uden at ane, at oplysningerne sendes videre til konsulenten.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun ramt, hvis I kører SharePoint Server 2016, 2019 eller Subscription Edition som en lokal installation. Kører I SharePoint Online via Microsoft 365, er I ikke berørt.
Hvordan finder vi ud af, hvilken version vi kører?
Log ind på SharePoint Central Administration eller kør PowerShell-kommandoen Get-SPFarm for at se den aktuelle build-nummer, og sammenlign med 16.0.19725.20522.
Kan vi vente til weekenden med at opdatere?
Ja. Fejlen kræver en gyldig konto og en aktiv handling fra offeret, og der er ikke rapporteret aktiv udnyttelse. I kan planlægge opdateringen til et normalt vedligeholdelsesvindue.
Skal vi anmelde noget til myndighederne?
Der er ikke belæg for, at fejlen alene udløser en anmeldelsespligt. Er personoplysninger blevet kompromitteret via udnyttelse af fejlen, skal I vurdere det efter reglerne om databrud og eventuelt anmelde det til Datatilsynet.
Påvirker fejlen data, der allerede er delt i SharePoint?
Nej, fejlen påvirker ikke fortroligheden af eksisterende dokumenter direkte. Den bruges til at snyde brugere via kode, der vises i browseren, og kan i praksis lede til, at login-oplysninger stjæles.
Kræver det ekstern adgang for at blive udnyttet?
Nej, angrebet kræver, at angriberen allerede har en konto på SharePoint-serveren, om end med lave rettigheder. Det gør ekstern, ikke-autentificeret udnyttelse umulig.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.19725.20522
Microsoft: Sharepoint Server
2016
Microsoft: Sharepoint Server
2019
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.