CVE-2026-65816: Kritisk fejl i Azure Arc
Kritisk fejl i Azure Arc (CVE-2026-65816) lader en angriber hæve rettigheder over netværket uden login. Opdatér Arc-agenten nu.
Hvad er det?
Azure Arc er Microsofts platform til at styre servere, Kubernetes-klynger og andre ressourcer uden for Azure fra samme portal som skyen. CVE-2026-65816 er en fejl i, hvordan Azure Arc slår navne og referencer op, kategoriseret som CWE-706. Fejlen betyder, at systemet i visse tilfælde slår det forkerte navn op og dermed giver adgang eller rettigheder til en ressource, som brugeren ikke burde have. En angriber kan udnytte fejlen over netværket uden at logge ind og uden at en bruger skal klikke på noget, og dermed hæve sine rettigheder i det miljø, som Azure Arc styrer.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Azure Arc til at forbinde og styre servere, virtuelle maskiner eller Kubernetes-klynger uden for Azure, herunder lokale servere i eget maskinrum eller hos en driftspartner. Det gælder danske virksomheder og kommuner med en hybrid it-arkitektur, hvor lokale systemer er koblet til Azure via Arc-agenten til styring, overvågning eller sikkerhedspolitikker.
Hvad kan ske?
En angriber, der får adgang til netværket omkring en Arc-forbundet ressource, kan udnytte fejlen til at hæve sine rettigheder til niveauet for den styrende Azure-konto. I praksis kan det betyde fuld kontrol over forbundne servere, adgang til data på dem og mulighed for at sprede sig videre til andre systemer i det hybride miljø. For en dansk virksomhed kan det ende med tab af data, driftsstop og i værste fald ransomware på både lokale og cloud-forbundne systemer.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed er alle fuldt påvirket, hvilket betyder, at en angriber i teorien kan læse, ændre og lukke ned for systemet. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes i skarpe angreb på offentliggørelsesdatoen, men den lave kompleksitet gør den attraktiv for angribere, så snart en metode er kendt.
Hvad gør jeg nu?
Azure Arc er en cloud-tjeneste, hvor Microsoft typisk retter fejl i tjenesten selv, men den lokale Arc-agent på jeres servere skal opdateres separat. Gør følgende:
- Opdatér Azure Arc-agenten på alle forbundne servere og klynger til den nyeste version.
- Tjek Azure Portal og Microsoft Defender for Cloud for sikkerhedsadvarsler knyttet til CVE-2026-65816 i jeres abonnement.
- Gennemgå adgangslogs for Arc-forbundne ressourcer for uventede rettighedsændringer eller ukendte logins.
- Begræns netværksadgangen til administrationsgrænseflader for Arc-forbundne systemer, hvor det er muligt.
- Kontakt Microsoft support eller en sikkerhedsrådgiver som Auroa, hvis I ikke kan bekræfte, at agenten er opdateret, eller hvis I finder tegn på misbrug.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Azure Arc-agenten på alle forbundne servere og klynger så hurtigt som muligt, da sårbarheden kræver hverken login eller brugerhandling og har den højst mulige CVSS-score. Der er ingen kendte tegn på aktiv udnyttelse på offentliggørelsesdatoen, så I kan planlægge opdateringen inden for det næste døgn, hvis det passer bedre med driften, men bør ikke skubbe den længere end det. Er I i tvivl om, hvilke systemer der bruger Azure Arc, hjælper vi gerne med en hurtig kortlægning.
Tidslinje
Konkrete eksempler
Kommune med hybrid serverpark
En dansk kommune bruger Azure Arc til at styre en række lokale filservere og en Kubernetes-klynge, der kører sagsbehandlingssystemer. En angriber, der har fået fodfæste på det interne netværk gennem en anden svaghed, udnytter CVE-2026-65816 til at hæve sine rettigheder til niveauet for kommunens Azure-styringskonto. Herfra får angriberen adgang til borgerdata på flere forbundne servere og kan sprede sig videre i det hybride miljø.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Azure Arc?
Log ind på Azure Portal og se under Azure Arc, hvor alle forbundne servere, Kubernetes-klynger og andre ressourcer er listet. Har I ingen ressourcer registreret der, er I ikke ramt af denne sårbarhed.
Kan vi vente med at opdatere til den planlagte vedligeholdelse i weekenden?
Der er ingen kendte tegn på aktiv udnyttelse på offentliggørelsesdatoen, men CVSS-scoren på 10 og den lave angrebskompleksitet betyder, at vi ikke anbefaler at vente mere end et par dage. Opdatér agenten inden næste arbejdsdag, hvis det er muligt.
Opdaterer Microsoft Arc-agenten automatisk for os?
Det afhænger af jeres konfiguration. Nogle Arc-agenter er sat op til automatisk opdatering, andre skal opdateres manuelt eller via et styringssystem. Tjek indstillingen for automatisk opdatering i Azure Portal for hver forbundet ressource.
Skal vi anmelde dette til myndighederne?
Der er ikke pligt til at anmelde en sårbarhed i sig selv. Bliver I derimod udsat for et faktisk angreb, der udnytter fejlen, kan I være forpligtet til at anmelde det efter NIS2 eller databeskyttelsesreglerne, afhængigt af jeres sektor og om persondata er involveret.
Hvad gør Azure Arc egentlig, og hvorfor har vi det?
Azure Arc lader jer styre servere, virtuelle maskiner og Kubernetes-klynger uden for Azure fra samme portal som jeres skytjenester. Det bruges ofte til at samle styring, overvågning og sikkerhedspolitikker for både lokale og cloud-baserede systemer på ét sted.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Use of incorrectly-resolved name or reference in Azure Arc allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.