CVE-2026-65801: Kritisk SSRF-fejl i Microsoft Exchange Online
Kritisk SSRF-sårbarhed i Microsoft Exchange Online kan give en angriber forhøjede rettigheder uden login. Tjek jeres logs for mistænkelig aktivitet.
Hvad er det?
CVE-2026-65801 er en sårbarhed af typen SSRF (Server-Side Request Forgery) i Microsoft Exchange Online, hvor en angriber kan narre serveren til at sende forespørgsler på angriberens vegne til interne systemer, den ellers ikke har adgang til. Det bruges her til at opnå forhøjede rettigheder i tjenesten. Sårbarheden ligger i selve Exchange Online-tjenesten, som Microsoft drifter, og ikke i software, kunder installerer selv. Fejlen kræver hverken login eller handling fra en bruger, og den kan udnyttes over internettet.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Exchange Online som en del af Microsoft 365. Det gælder de fleste danske virksomheder og kommuner, der bruger Outlook og e-mail via Microsoft 365-abonnementer. Lokalt installeret Exchange Server (on-premises) er ikke omfattet af denne sårbarhed, da den kun rammer den skybaserede udgave af tjenesten.
Hvad kan ske?
En angriber kan udnytte fejlen til at opnå forhøjede rettigheder inde i Exchange Online-miljøet. Det kan i praksis betyde adgang til andre brugeres postkasser, oprettelse af skjulte videresendelsesregler eller ændring af rettigheder til e-mail-data, uden at ejeren af postkassen bemærker det. For en dansk virksomhed kan det føre til læk af følsomme oplysninger, aftaler og fakturaer, og danne grundlag for videre svindel som fakturafusk.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ingen login, ingen adgangskoder og ingen handling fra en bruger, og det kan udføres over netværket. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud. Der er ikke oplysninger om, at sårbarheden er blevet aktivt udnyttet i praksis på offentliggørelsestidspunktet, men den tekniske alvorlighed er den højst mulige.
Hvad gør jeg nu?
Fordi Exchange Online er en skybaseret tjeneste, retter Microsoft fejlen centralt uden, at I selv skal installere noget. Men I bør stadig tjekke, om jeres miljø har været berørt.
- Bekræft, at jeres Exchange Online-tenant har modtaget Microsofts rettelse, ved at følge Microsoft 365-servicemeddelelser i admin-centeret.
- Gennemgå logfiler for administrative ændringer og usædvanlig rettighedstildeling i perioden op til offentliggørelsen.
- Kontrollér postkasser for uautoriserede videresendelsesregler og ukendte adgange, især hos ledelse og økonomifunktion.
- Aktivér eller skærp betinget adgang og multifaktorgodkendelse for alle konti med administrative rettigheder.
- Underret jeres it-leverandør eller sikkerhedsrådgiver, hvis I finder tegn på uautoriseret aktivitet, så det kan undersøges nærmere og eventuelt anmeldes efter GDPR-reglerne.
Tjek logs og adgange denne uge
Vi anbefaler, at I bekræfter, at Microsoft har opdateret jeres Exchange Online-tenant, og at I samtidig gennemgår logfiler for tegn på uautoriseret rettighedstildeling. Da rettelsen sker hos Microsoft og ikke kræver installation hos jer, er den tekniske del af sagen lukket, men vi anbefaler ikke at vente med logtjekket, da CVSS-score på 10 betyder, at konsekvensen ved udnyttelse er alvorlig. Det er i orden at planlægge logtjekket til førstkommende arbejdsdag, hvis der ikke er tegn på mistænkelig aktivitet i jeres nuværende overvågning.
Tidslinje
Konkrete eksempler
Fakturafusk via kompromitteret postkasse
En dansk mellemstor virksomhed bruger Microsoft 365 til hele sin e-mail-kommunikation. En angriber udnytter sårbarheden til at opnå forhøjede rettigheder i Exchange Online og opretter en skjult videresendelsesregel i økonomichefens postkasse. Herefter opsnapper angriberen en igangværende fakturadialog med en leverandør og sender ændrede bankoplysninger, hvilket fører til en fejlagtig betaling, før virksomheden opdager det via en rutinemæssig logtjek.
Ofte stillede spørgsmål
Skal vi selv installere en opdatering?
Nej. Exchange Online er en skytjeneste, som Microsoft drifter og retter centralt. I skal ikke installere noget selv, men bør bekræfte via Microsoft 365-admin-centeret, at rettelsen er anvendt på jeres tenant.
Er vi ramt, hvis vi bruger Microsoft 365?
I er potentielt berørt, hvis I bruger Exchange Online til e-mail. Brug af lokal Exchange Server på egne servere er ikke omfattet af denne konkrete sårbarhed.
Hvordan tjekker vi, om vi er blevet ramt?
Gennemgå administrative logfiler i Microsoft 365 for usædvanlige rettighedsændringer, nye administratorkonti eller ukendte videresendelsesregler i postkasser, især i perioden omkring offentliggørelsen den 20. august 2026.
Kan vi vente til weekenden med at tjekke det?
Selve rettelsen er Microsofts ansvar og er allerede håndteret centralt. Logtjekket kan planlægges til førstkommende arbejdsdag, medmindre I allerede har mistanke om uautoriseret aktivitet.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået uden tilladelse. Find I sådanne tegn, skal I vurdere en anmeldelse efter GDPR-reglerne inden for 72 timer efter, I bliver opmærksomme på det.
Påvirker sårbarheden vores lokale Exchange-server?
Nej. CVE-2026-65801 gælder specifikt Exchange Online, den skybaserede del af Microsoft 365. Lokalt installerede Exchange-servere er ikke omfattet af denne sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Server-side request forgery (ssrf) in Microsoft Exchange Online allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.