CVE-2026-69555: Kritisk autorisationsfejl i Azure Arc

CVE-2026-69555 er en fejl i adgangskontrollen i Azure Arc, Microsofts tjeneste til at forbinde og administrere servere, Kubernetes-klynger og andre ressourcer uden for Azure fra en central konsol i skyen. Fejlen betyder, at systemet ikke tjekker rettigheder korrekt, når en handling udføres (CWE-863, forkert autorisation). En angriber kan derfor udnytte fejlen over netværket til at hæve sine rettigheder, uden at have en gyldig konto eller behøve nogen handling fra en bruger.

Fejlen rammer organisationer, der bruger Azure Arc til at forbinde on-premises servere, virtuelle maskiner i andre skyer eller Kubernetes-klynger til Azure. Det gælder danske virksomheder og kommuner med hybrid infrastruktur, hvor dele af driften ligger lokalt eller hos en anden skyudbyder, men styres og overvåges gennem Azure. Der er ikke angivet specifikke agentversioner i NVD-data, så alle med aktive Azure Arc-forbindelser bør forholde sig til sagen.

En angriber kan hæve sine rettigheder og få adgang til fortrolige oplysninger samt ændre konfigurationer i de ressourcer, som Azure Arc administrerer. Det kan betyde adgang til data fra servere og klynger, som organisationen troede var beskyttet af Azures rettighedsstyring, og risiko for at få ændret indstillinger eller adgangsforhold uden at det er godkendt. Fejlen påvirker ikke tilgængeligheden, så systemerne forventes ikke at gå ned, men fortrolighed og integritet er i høj risiko.

CVSS-score er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login (PR:N), ingen handling fra en bruger (UI:N), og kan udføres over netværket (AV:N) med lav kompleksitet. Fordi omfanget er markeret som ændret (S:C), kan angrebet påvirke ressourcer uden for selve Azure Arc-komponenten. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse i praksis, men den lave angrebskompleksitet og score på 10 gør den til en af de mest kritiske typer sårbarheder, der findes.

Da Azure Arc er en Microsoft-styret cloudtjeneste, er rettelsen typisk allerede lagt ud på tjenestens side. Jeres opgave er at sikre, at jeres lokale agenter og adgange følger med.

1. Opdatér Azure Arc-agenten på alle forbundne servere og klynger til nyeste version via Azure Portal eller kommandolinjeværktøjet.
2. Gennemgå Microsofts sikkerhedsvejledning for CVE-2026-69555 og bekræft, at jeres abonnement er dækket af den serverside-rettelse, Microsoft har udrullet.
3. Tjek adgangslogge og rollestyring (Azure RBAC) for uventede rettighedsændringer på Arc-forbundne ressourcer siden 20. august 2026.
4. Begræns, hvilke identiteter der har adgang til at administrere Arc-ressourcer, og fjern unødvendige rettigheder.
5. Aktivér overvågning og alarmer i Microsoft Defender for Cloud på Arc-forbundne systemer.
6. Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, at agenter og rettigheder er opdateret korrekt.