CVE-2026-69402: XSS-sårbarhed i Microsoft SharePoint Server
Sårbarhed i Microsoft SharePoint Server tillader spoofing via cross-site scripting. Opdatér til version 16.0.20326.20090 eller nyere.
Hvad er det?
CVE-2026-69402 er en cross-site scripting sårbarhed i Microsoft SharePoint Server. Cross-site scripting betyder, at en angriber kan indsætte skadelig kode på en webside, som derefter køres i browseren hos den, der besøger siden. Fejlen opstår, fordi SharePoint ikke renser input korrekt, når sider genereres. En angriber med gyldig, lav-privilegeret adgang til SharePoint kan udnytte fejlen til at udgive sig for at være en anden bruger eller vise falsk indhold, som fremstår autentisk. Angrebet kræver, at en bruger klikker på et link eller udfører en handling, som angriberen har forberedt.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Microsoft SharePoint Server i version ældre end 16.0.20326.20090. Det gælder både lokale SharePoint-installationer og hybride opsætninger, hvor SharePoint Server er koblet til Microsoft 365. Alle, der bruger SharePoint til intranet, dokumentdeling eller samarbejde, er potentielt berørt, hvis serveren ikke er opdateret.
Hvad kan ske?
En angriber, der allerede har en konto med lave rettigheder på SharePoint-serveren, kan narre en anden bruger til at klikke på et link eller åbne et dokument. Herefter kan angriberen få adgang til fortrolige oplysninger eller manipulere indhold, så det ser ud som om, det kommer fra en betroet kilde. I praksis kan det bruges til at stjæle adgangskoder via falske login-sider eller til at sprede vildledende information internt i organisationen, hvilket kan underminere tilliden til virksomhedens interne systemer.
Hvor alvorligt er det?
CVSS-scoren er 7,3 ud af 10, hvilket er alvorligt. Angrebet kræver netværksadgang, men lav kompleksitet, hvilket gør det relativt enkelt at udføre teknisk. Angriberen skal have en gyldig konto med lave rettigheder og skal narre en bruger til at foretage en handling, for eksempel klikke på et link. Der er ingen kendte tilfælde af aktiv udnyttelse offentliggjort på tidspunktet for denne opdatering, men fordi konsekvenserne for fortrolighed og integritet er høje, bør sårbarheden tages seriøst.
Hvad gør jeg nu?
Følg disse skridt for at lukke sårbarheden og begrænse risikoen, mens I opdaterer:
- Opdatér Microsoft SharePoint Server til version 16.0.20326.20090 eller nyere. Dette lukker selve sårbarheden.
- Gennemgå brugerkonti med adgang til SharePoint, og fjern unødvendige rettigheder, så færre konti kan misbruges til angrebet.
- Informér medarbejdere om at være opmærksomme på uventede links eller anmodninger om at klikke på indhold i SharePoint, indtil opdateringen er gennemført.
- Aktivér logning af mistænkelig aktivitet på SharePoint-serveren, hvis det ikke allerede er gjort, så I kan opdage forsøg på misbrug.
- Test opdateringen i et testmiljø, hvis I har et, før den rulles ud i produktion, for at undgå driftsstop.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at planlægge og udføre opdateringen inden for kort tid.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer SharePoint Server til den fastsatte version så hurtigt som muligt, og at I gennemgår adgangsrettigheder for interne brugere i samme forbindelse. Det er i orden at vente til en planlagt vedligeholdelsesvindue, hvis dette ligger inden for de næste dage, men vent ikke længere end en uge, da sårbarheden er offentligt kendt. Er I i tvivl om, hvordan opdateringen påvirker jeres tilpasninger af SharePoint, bør I teste den først eller søge hjælp.
Tidslinje
Konkrete eksempler
Falsk login-side i intranettet
En medarbejder i en dansk kommune modtager et link til et dokument i SharePoint fra en kollega, hvis konto er blevet kompromitteret. Linket udnytter sårbarheden til at vise en falsk login-side, der ser ud som SharePoint’s egen. Medarbejderen indtaster sine loginoplysninger, som angriberen derefter bruger til at få adgang til flere systemer.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres organisation kører Microsoft SharePoint Server i en version ældre end 16.0.20326.20090. Tjek versionsnummeret i SharePoint’s centraladministration eller kontakt jeres it-leverandør for at få bekræftet versionen.
Hvordan tjekker vi, om vores SharePoint-version er sårbar?
Log ind på SharePoint’s centraladministration, og find versionsnummeret under systemindstillinger. Er versionen lavere end 16.0.20326.20090, er I sårbare og bør opdatere.
Kan vi vente til weekenden med at opdatere?
Hvis jeres næste planlagte vedligeholdelsesvindue ligger inden for få dage, er det acceptabelt at vente til da. Vi anbefaler dog ikke at vente længere end en uge, da sårbarheden er offentligt beskrevet.
Kræver angrebet, at brugeren gør noget?
Ja. Angriberen skal narre en bruger til at klikke på et link eller udføre en anden handling, før angrebet kan lykkes. Det gør angrebet lidt sværere at udføre, men det er stadig muligt, hvis brugere ikke er opmærksomme.
Skal vi anmelde dette til myndighederne?
Der er ikke krav om anmeldelse, medmindre sårbarheden fører til et konkret sikkerhedsbrud med tab af persondata. I så fald skal I følge jeres almindelige procedurer for databrud og eventuelt underrette Datatilsynet.
Hvad koster det at vente med at opdatere?
Uden opdatering risikerer I, at en angriber med en gyldig, lav-privilegeret konto kan udgive sig for andre brugere eller stjæle fortrolige oplysninger via manipulerede sider. Konsekvensen kan være tab af tillid til interne systemer og eksponering af data.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.20326.20090
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.