CVE-2026-68789: SQL-injection i Azure SQL Database

CVE-2026-68789 er en sql-injection-sårbarhed i Azure SQL Database, Microsofts cloud-tjeneste til at hoste databaser for virksomheders applikationer. Sql-injection betyder, at en angriber kan indsætte skadelig kode i databasekommandoer og dermed omgå de begrænsninger, databasen normalt sætter for en brugers rettigheder. Fejlen gør, at en bruger, der allerede har et lavt adgangsniveau, kan hæve sine rettigheder til administratorniveau, uden at nogen anden bruger skal godkende eller klikke på noget. Fordi angrebet sker over netværket og ikke kræver brugerinteraktion, kan det udføres automatisk, når angriberen først har en gyldig, men begrænset konto.

Sårbarheden rammer alle virksomheder og kommuner, der bruger Azure SQL Database som database bag deres applikationer, herunder SaaS-løsninger, interne systemer og hjemmesider koblet til Azure. Det er ikke en bestemt version, der er ramt, fordi Azure SQL Database er en tjeneste, Microsoft selv drifter og opdaterer centralt. Er jeres applikation bygget på Azure SQL Database, eller bruger jeres leverandør tjenesten som backend, er I omfattet.

En angriber, der har fået adgang til en almindelig, lavt privilegeret databasebruger, for eksempel via en stjålet adgangskode eller en sårbarhed i jeres egen applikation, kan udnytte fejlen til at hæve sine rettigheder til fuld administrator i databasen. Fra dette niveau kan angriberen læse, ændre og slette alle data i databasen, herunder personoplysninger og forretningskritisk information. Fordi sårbarheden ændrer scope (S:C i CVSS-vektoren), kan konsekvenserne i værste fald sprede sig til ressourcer uden for den enkelte database, hvilket er særligt relevant i en delt cloud-tjeneste.

Sårbarheden har en CVSS-score på 9,9 ud af 10 og er klassificeret som kritisk. Angrebet kræver kun lave rettigheder, altså en almindelig brugerkonto med begrænset adgang, og ingen brugerinteraktion. Det kan udføres over netværket uden fysisk adgang. Der er ingen kendte tegn på aktiv udnyttelse på offentliggørelsesdatoen, men den lave angrebskompleksitet og det lave krav til rettigheder gør sårbarheden attraktiv for angribere, der allerede har fået fodfæste et sted i jeres miljø.

Fordi Azure SQL Database er en tjeneste, Microsoft drifter, ligger den egentlige rettelse hos Microsoft. Der er dog en række ting, I selv skal gøre for at være sikre.

1. Bekræft via Azure Service Health eller jeres Microsoft-kontakt, at rettelsen er rullet ud til de regioner og servere, jeres database kører i.
2. Gennemgå logins og rettigheder i jeres Azure SQL Database, og fjern lav-privilegerede konti, der ikke længere er i brug.
3. Aktivér SQL Auditing og Advanced Threat Protection, hvis det ikke allerede er slået til, så I kan se forsøg på privilegie-eskalering.
4. Gennemgå jeres egen applikationskode for sql-injection-sårbarheder, så en angriber ikke kan opnå den lave adgang, angrebet kræver.
5. Roter adgangskoder og nøgler til databasekonti, hvis I er i tvivl om, om de har været eksponeret.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere patch-status eller gennemgå jeres logs.