CVE-2026-68782: Kritisk SQL-fejl i Azure SQL Database

CVE-2026-68782 er en sårbarhed i Azure SQL Database, Microsofts skybaserede databasetjeneste. Fejlen skyldes SQL-indsprøjtning, hvor særlige tegn i en forespørgsel ikke bliver renset ordentligt, før de sendes videre til databasen. En bruger, der allerede har et begrænset login med lave rettigheder, kan udnytte fejlen til at give sig selv højere rettigheder i databasen eller i tilknyttede systemer, uden at nogen anden skal klikke på noget eller godkende noget.

Sårbarheden rammer virksomheder og kommuner, der bruger Azure SQL Database, herunder egne applikationer, kundeportaler eller SaaS-løsninger bygget på tjenesten. Det gælder især systemer, hvor flere brugere eller kunder deler samme database med forskellige rettighedsniveauer, for eksempel multi-tenant løsninger hvor kunder kun skal kunne se egne data.

En bruger med et almindeligt, begrænset login kan udnytte fejlen til at eskalere til højere rettigheder i databasen. Fordi angrebets omfang kan brede sig til andre komponenter (scope changed), kan det i praksis betyde adgang til data, som brugeren ikke burde kunne se, ændring af data eller nedbrud af tjenesten. For en dansk virksomhed med en kundeportal kan det betyde, at en kunde får adgang til andre kunders data eller kan manipulere fælles registre.

CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver kun lave rettigheder, altså et almindeligt gyldigt login, ingen handling fra en bruger og ingen fysisk eller lokal adgang. Angrebskompleksiteten er lav, og angriberen kan udføre det over netværket. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ingen oplysninger om, at sårbarheden aktivt bliver udnyttet, men den lave adgangsbarriere gør den til en attraktiv mulighed for angribere, der allerede har et fodfæste.

Azure SQL Database er en skytjeneste, hvor Microsoft selv står for at rette fejlen i infrastrukturen. I skal derfor primært sikre, at jeres opsætning og rettigheder er i orden.

1. Bekræft i Azure-portalen, at jeres Azure SQL Database-instanser kører på en opdateret version af tjenesten. Microsoft ruller normalt fixet ud automatisk uden nedetid.
2. Gennemgå brugerrettigheder i databasen og fjern unødvendige rettigheder, så konti kun har adgang til det, de skal bruge.
3. Gennemgå applikationskode, der bygger SQL-forespørgsler dynamisk, og skift til parametriserede forespørgsler, hvor det ikke allerede er tilfældet.
4. Tjek logs i Azure Monitor eller SQL Audit for usædvanlige forespørgselsmønstre eller pludselige rettighedsændringer.
5. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv har overblik over jeres Azure SQL-opsætning eller er i tvivl om, hvorvidt jeres data har været udsat.