CVE-2026-66309: Kritisk sårbarhed i Azure SQL Database

CVE-2026-66309 er en fejl i adgangskontrol (CWE-284) i Azure SQL Database, Microsofts cloud-baserede databasetjeneste. Fejlen betyder, at systemet ikke tjekker rettigheder korrekt, når en bruger med høje rettigheder foretager bestemte handlinger. En angriber, der allerede har en konto eller adgangsnøgle med høje rettigheder, kan udnytte fejlen til at eskalere sin adgang og få kontrol, der går ud over det, kontoen egentlig er godkendt til. Fejlen kan udnyttes over netværket uden brugerinteraktion fra andre. Fordi Azure SQL Database er en fælles cloud-tjeneste, ligger den grundlæggende rettelse hos Microsoft, men jeres egne adgangsrettigheder og konti er stadig relevante at kigge på.

Alle virksomheder og kommuner, der bruger Azure SQL Database, herunder løsninger bygget på denne tjeneste hos leverandører og fagsystemer. Det rammer især konti og tjenesteprincipper (service principals) med høje rettigheder i databasen, for eksempel databaseadministratorer, integrationskonti og automatiserede processer, der har fået tildelt udvidede rettigheder.

Hvis en angriber allerede har fået fat i en konto med høje rettigheder, for eksempel gennem et stjålet kodeord eller en lækket adgangsnøgle, kan sårbarheden bruges til at eskalere yderligere. Fordi angrebet kan bryde ud af databasens egen afgrænsning (scope changed i CVSS-vurderingen), risikerer virksomheden, at angriberen får adgang til data og ressourcer, der ligger uden for den database, kontoen normalt har adgang til. I praksis kan det betyde læsning og ændring af følsomme data samt afbrydelse af driften.

CVSS-score er 9,1 ud af 10, kritisk. Sårbarheden kræver, at angriberen allerede har høje rettigheder i systemet (PR:H), men kræver ikke brugerinteraktion og kan udnyttes over netværket. Konsekvensen er høj for fortrolighed, integritet og tilgængelighed, og angrebet kan brede sig uden for det oprindelige system. Der er pr. offentliggørelsesdatoen ikke oplysninger om aktiv udnyttelse i naturen.

Da Azure SQL Database er en cloud-tjeneste, ligger den grundlæggende rettelse hos Microsoft. I skal alligevel handle for at begrænse risikoen ved jeres egne konti.

1. Bekræft via Microsofts sikkerhedsmeddelelse eller jeres Azure-portal, at platformrettelsen er anvendt på jeres abonnement.
2. Gennemgå alle konti og tjenesteprincipper med høje rettigheder i Azure SQL Database, og fjern rettigheder, der ikke er nødvendige.
3. Aktivér eller kontrollér revisionslogning (auditing) på databaserne, så I kan se unormal aktivitet fra privilegerede konti.
4. Skift adgangsnøgler og kodeord for konti med høje rettigheder, hvis der er tvivl om, om de har været eksponeret.
5. Sæt overvågning op til at give besked ved rettighedsændringer eller usædvanlig adgang fra administrative konti.
6. Hvis I ikke selv har overblik over jeres Azure-rettighedsstruktur eller mangler ressourcer til gennemgangen, bør I hente hjælp udefra til en adgangsgennemgang.