CVE-2026-69399: Kritisk fejl i Azure Arc giver fuld adgang
Kritisk fejl i Azure Arc giver angribere fuld systemadgang uden login. Opdatér Azure Arc nu.
Hvad er det?
CVE-2026-69399 er en rettighedsforøgelsesfejl i Azure Arc, Microsofts tjeneste til styring af servere og infrastruktur på tværs af miljøer. Fejlen er klassificeret som CWE-441, en såkaldt uautoriseret proxyfejl, hvor en angriber kan få systemet til at udføre handlinger på vegne af en anden part uden tilladelse. Det betyder, at en angriber kan omgå de normale adgangskontroller og opnå rettigheder langt ud over det tilladte. Fejlen kræver hverken login, særlige rettigheder eller handling fra en bruger, og angrebet kan udføres over netværket.
Hvem rammer det?
Fejlen rammer virksomheder og kommuner, der bruger Azure Arc til at administrere servere, Kubernetes-klynger eller andre ressourcer, hvad enten de befinder sig lokalt, hos en hostingudbyder eller i en anden cloud. Berørte versioner fremgår endnu ikke præcist af NVDs produktliste, men alle organisationer med Azure Arc i drift bør betragte sig som potentielt ramt, indtil Microsoft har bekræftet hvilke versioner der er sårbare.
Hvad kan ske?
En angriber, der udnytter fejlen, kan opnå fuld kontrol over de systemer, Azure Arc administrerer. I praksis betyder det, at en angriber udefra kan læse, ændre eller slette data, installere software, lukke servere ned eller bevæge sig videre ind i den øvrige infrastruktur. For en dansk virksomhed kan det betyde driftstop, tab af fortrolige kundedata og potentiel anmeldelsespligt til Datatilsynet.
Hvor alvorligt er det?
CVSS-scoren er 10,0, som er det højest mulige. Fejlen kan udnyttes over netværket uden forudgående adgang, uden særlige rettigheder og uden at en bruger skal klikke på noget. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er endnu ikke bekræftet aktiv udnyttelse i naturen, men den lave angrebskompleksitet og fraværet af alle forhindringer gør fejlen særligt attraktiv for angribere.
Hvad gør jeg nu?
Gennemfør følgende trin i prioriteret rækkefølge:
- Installér den sikkerhedsopdatering, Microsoft udgiver til Azure Arc, så snart den er tilgængelig. Følg Microsofts officielle sikkerhedsbulletin for opdateringsvejledning.
- Kortlæg hvilke servere og ressourcer, der er tilknyttet Azure Arc i jeres miljø, og vurdér eksponeringen.
- Begræns netværksadgangen til Azure Arc-agenter, så kun nødvendige systemer kan kommunikere med tjenesten, indtil opdateringen er installeret.
- Gennemgå logfiler fra Azure Arc for usædvanlig aktivitet siden 17. september 2026.
- Hvis I finder tegn på kompromittering, skal I kontakte jeres it-sikkerhedsleverandør og overveje anmeldelse til Datatilsynet samt Center for Cybersikkerhed.
Opdatér inden for 24 timer
Vi anbefaler, at I prioriterer opdateringen af Azure Arc øverst på jeres opgaveliste denne uge. En CVSS-score på 10,0 uden krav om forudgående adgang efterlader ingen rimelig begrundelse for at vente. Er det ikke muligt at opdatere med det samme, anbefaler vi, at I straks begrænser netværkseksponeringen for Azure Arc-agenter som en midlertidig foranstaltning. Kontakt os, hvis I har brug for hjælp til at kortlægge jeres eksponering eller implementere opdateringen.
Tidslinje
Konkrete eksempler
Produktionsvirksomhed med hybridmiljø
En dansk produktionsvirksomhed bruger Azure Arc til at administrere både lokale servere i fabrikken og ressourcer i Azure. En angriber udnytter CVE-2026-69399 over internettet uden at have nogen form for adgang i forvejen og opnår administrative rettigheder på de tilknyttede servere. Angriberen kan herefter afbryde produktionssystemer eller stjæle fortrolige ordredata, inden virksomheden opdager indtrængen.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger Azure Arc?
Log ind på Azure-portalen og søg efter Azure Arc under ressourcer. Alternativt kan jeres it-afdeling eller leverandør tjekke, om Azure Arc-agenten er installeret på servere i jeres miljø ved at søge efter tjenesten ‘himds’ på de pågældende maskiner.
Kan vi vente med opdateringen til næste planlagte vedligeholdelsesvindue?
Vi fraråder det. En CVSS-score på 10,0 uden krav om login eller brugerhandling betyder, at risikoen ved at vente er meget høj. Gennemfør opdateringen uden for normal arbejdstid, men vent ikke til næste planlagte vindue, hvis det er mere end 24 til 48 timer væk.
Er fejlen allerede udnyttet af angribere?
Der er på nuværende tidspunkt ikke bekræftede rapporter om aktiv udnyttelse. Det ændrer ikke alvorligheden, da den lave angrebskompleksitet gør det sandsynligt, at angribere hurtigt vil forsøge at udnytte fejlen, når den er offentliggjort.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at fejlen faktisk er udnyttet og har ført til et brud på persondatasikkerheden. Er der ikke tegn på kompromittering efter jeres undersøgelse, er der ikke anmeldelsespligt. Fund I tegn på indtrængen, skal anmeldelse ske inden for 72 timer.
Hvad er Azure Arc, og hvorfor er det et mål for angribere?
Azure Arc er en Microsoftplatform, der giver central styring af servere og systemer på tværs af lokale miljøer og cloud. Fordi Arc-agenten har privilegerede rettigheder på de maskiner, den administrerer, er den et attraktivt mål: kompromitteres Arc, kan en angriber potentielt nå mange systemer på én gang.
Hvad gør vi, hvis vi ikke selv kan håndtere opdateringen?
Kontakt jeres it-leverandør eller et sikkerhedsfirma som Auroa. Vi kan hjælpe med at kortlægge eksponering, installere opdateringen og gennemgå logfiler for tegn på misbrug.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Azure Arc Elevation of Privilege Vulnerability
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.