CVE-2026-69356: XSS-sårbarhed i Microsoft Exchange
Kritisk XSS-fejl i Microsoft Exchange Server (CVE-2026-69356) kan bruges til at forfalske indhold og stjæle data. Installér Microsofts opdatering.
Hvad er det?
CVE-2026-69356 er en sårbarhed i Microsoft Exchange Server, hvor systemet ikke renser inddata korrekt, når det bygger websider. Fejltypen kaldes cross-site scripting, forkortet XSS: en teknik, hvor en angriber kan gemme skadelig kode i indhold, som senere vises i en anden brugers browser. Her kan koden bruges til at forfalske indhold, kaldet spoofing, og aflæse eller ændre data, som brugeren har adgang til. Angrebet kræver ikke login på forhånd, men kræver at et offer åbner et bestemt link eller stykke indhold, hvor koden er placeret.
Hvem rammer det?
Sårbarheden rammer Microsoft Exchange Server, som mange danske virksomheder og kommuner selv drifter på egne servere, kaldet on-premises. Det gælder især adgang gennem Outlook Web App og Exchange admin center, som medarbejdere og it-administratorer bruger i browseren. Organisationer, der udelukkende bruger Exchange Online i Microsoft 365, er ikke berørt, da Microsoft opdaterer den skytjeneste centralt.
Hvad kan ske?
En angriber kan sende en mail eller et link, der indeholder skjult kode. Når en medarbejder eller administrator åbner indholdet i Exchange, kan koden køre i vedkommendes browsersession og læse eller manipulere data, som den pågældende bruger har adgang til. Rammer det en administrator, kan angriberen potentielt få adgang til postkasser, kontaktoplysninger eller interne beskeder og bruge dem til yderligere angreb, for eksempel målrettet phishing mod resten af organisationen.
Hvor alvorligt er det?
CVSS-score er 9,3 af 10, hvilket er kritisk. Angrebet kræver ikke login, men kræver at et offer klikker på et link eller åbner indhold, hvor koden ligger, det vil sige brugerinteraktion. Konsekvensen er høj risiko for tab af fortrolighed og manipulation af data, mens der ikke er risiko for nedbrud af systemet. Der er ikke oplysninger om, at sårbarheden er udnyttet i angreb, men den er offentliggjort sammen med en sikkerhedsopdatering fra Microsoft.
Hvad gør jeg nu?
Sådan lukker I hullet og reducerer risikoen, mens I venter:
- Installér Microsofts sikkerhedsopdatering til jeres version af Exchange Server med det samme.
- Kortlæg hvilke Exchange-servere I har on-premises, og hvilken Cumulative Update de kører.
- Informér medarbejdere og administratorer om ikke at klikke på ukendte links i mails, indtil opdateringen er installeret.
- Gennemgå logs for Outlook Web App og Exchange admin center for usædvanlig aktivitet i perioden op til opdateringen.
- Kontakt en sikkerhedsleverandør eller Auroa, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for kort tid.
Opdatér inden for 72 timer
Vi anbefaler, at I installerer Microsofts sikkerhedsopdatering på jeres Exchange-servere så hurtigt som muligt, da sårbarheden rammer et system, der bruges til daglig kommunikation og ofte har adgang til følsomme data. Det er i orden at planlægge installationen som en del af det næste vedligeholdelsesvindue, hvis det ligger inden for få dage, men vi fraråder at udskyde det længere, da sårbarheden er offentligt kendt.
Tidslinje
Konkrete eksempler
Phishing-mail til it-administrator i en kommune
En angriber sender en mail med et link til en it-administrator i en dansk kommune, der bruger Exchange admin center i browseren. Administratoren klikker på linket, og den skjulte kode kører i dennes session, hvilket giver angriberen mulighed for at aflæse interne oplysninger og forfalske indhold i systemet. Havde Exchange-serveren været opdateret, ville koden ikke være blevet udført.
Ofte stillede spørgsmål
Er vores Exchange-server ramt?
Hvis I kører Microsoft Exchange Server on-premises, altså på egne fysiske eller virtuelle servere, er I potentielt ramt. Bruger I udelukkende Exchange Online i Microsoft 365, er I ikke berørt, da Microsoft opdaterer den løsning centralt.
Hvordan tjekker vi, om opdateringen er installeret?
I kan se den installerede build-version i Exchange admin center under serveroplysninger og sammenligne den med Microsofts liste over sikkerhedsopdateringer for den pågældende Cumulative Update.
Kan vi vente til weekenden med at opdatere?
Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, så en kort udsættelse på få dage til et planlagt vedligeholdelsesvindue er forsvarlig. Vi anbefaler dog ikke at udskyde det ud over en uge.
Skal vi anmelde hændelsen til myndighederne?
Der er ikke i sig selv krav om anmeldelse, blot fordi en sårbarhed findes. Konstaterer I derimod, at sårbarheden er udnyttet, og at persondata er kompromitteret, kan I have pligt til at anmelde det til Datatilsynet efter databeskyttelsesreglerne.
Kræver det, at vi klikker på noget for at blive ramt?
Ja. Angrebet kræver, at en bruger åbner et link eller indhold, hvor den skadelige kode er placeret. Det gør god oplysning til medarbejderne til en relevant midlertidig beskyttelse, mens opdateringen udrulles.
Hvad hvis vi ikke selv har it-folk til at håndtere opdateringen?
Så anbefaler vi at kontakte jeres it-leverandør eller en sikkerhedskonsulent, som Auroa, der kan teste og installere opdateringen for jer inden for den anbefalede tidsramme.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.