CVE-2026-69690: XSS-fejl i Microsoft SharePoint Server
XSS-fejl i Microsoft SharePoint Server kan bruges til at snyde brugere med falsk indhold. Opdatér til 16.0.20326.20090 eller nyere.
Hvad er det?
CVE-2026-69690 er en fejl af typen cross-site scripting (XSS), hvor en webside ikke renser brugerinput ordentligt, før den vises for andre. I Microsoft SharePoint Server betyder det, at en person med et gyldigt, men lavt rettighedsniveau kan indsætte kode i en side, så den vises som skadeligt eller vildledende indhold for andre brugere, der besøger siden. Microsoft beskriver konsekvensen som spoofing, altså at brugeren narres til at tro, indholdet er ægte og tillid til systemet.
Hvem rammer det?
Sårbarheden rammer organisationer, der kører Microsoft SharePoint Server on-premises i versioner ældre end 16.0.20326.20090. Det gælder typisk danske kommuner, styrelser og virksomheder, der bruger SharePoint til intranet, dokumentdeling eller samarbejdsrum, hvor flere medarbejdere har adgang til at redigere eller uploade indhold.
Hvad kan ske?
En angriber skal allerede have et lavt rettighedsniveau, altså et gyldigt login, og offeret skal foretage en handling, for eksempel klikke på et link eller åbne en side. Herefter kan angriberen få skadelig kode til at køre i offerets browser og vise falsk indhold, der ser tilforladeligt ud. Det kan bruges til at franarre kollegaer oplysninger eller til at få dem til at tro, en besked eller side kommer fra en betroet kilde, når den ikke gør.
Hvor alvorligt er det?
CVSS-score er 4,6 på en skala til 10, hvilket NVD kategoriserer som moderat. Angrebet kræver netværksadgang, men også et gyldigt login og at offeret aktivt gør noget, for eksempel klikker på et link. Det gør sårbarheden væsentligt mindre kritisk end fejl, der kan udnyttes helt uden login. Der er ikke oplysninger om, at CVE-2026-69690 er udnyttet i skarpe angreb ved offentliggørelsen.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér SharePoint Server til version 16.0.20326.20090 eller nyere. Det lukker selve fejlen.
- Gennemgå, hvem der har rettigheder til at redigere sider og uploade indhold i SharePoint, og fjern adgang, der ikke er nødvendig.
- Undervis medarbejdere i ikke at klikke på links eller åbne sider i SharePoint fra ukendte eller usædvanlige beskeder.
- Overvåg logs for usædvanlig aktivitet fra brugere med lave rettigheder i perioden op til opdatering.
- Kontakt os, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen, eller hvis I er i tvivl om jeres nuværende version.
Opdatér ved næste planlagte vedligehold
Vi anbefaler, at I opdaterer SharePoint Server til version 16.0.20326.20090 eller nyere ved næste planlagte vedligeholdelsesvindue. Fejlen kræver både login og en aktiv handling fra offeret, så den er ikke akut, men den bør med i jeres almindelige opdateringsplan. Det er i orden at vente et par uger, hvis I samtidig begrænser redigeringsrettigheder og holder øje med logs i mellemtiden.
Tidslinje
Konkrete eksempler
Falsk besked i kommunens intranet
En kommune bruger SharePoint Server til internt intranet, hvor flere afdelinger kan redigere sider med lave brugerrettigheder. En medarbejder med et almindeligt login indsætter skadelig kode i en nyhedsside. En kollega klikker på et link i nyheden og bliver mødt af en falsk logindialog, der ligner den ægte, og afgiver derved sine loginoplysninger til den forkerte part.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-69690?
I er berørt, hvis I kører Microsoft SharePoint Server on-premises i en version ældre end 16.0.20326.20090. Tjek jeres nuværende serverversion i SharePoint Central Administration for at være sikre.
Kan vi vente til den næste planlagte opdatering?
Ja, det kan I typisk godt. Fejlen kræver, at angriberen har et gyldigt login og at offeret klikker på noget, så risikoen for udbredt misbrug er begrænset. Vent dog ikke længere end til jeres næste ordinære vedligeholdelsesvindue.
Skal vi anmelde noget til myndighederne?
Der er ingen anmeldelsespligt alene ved at have en sårbar version. Har I derimod konkrete tegn på, at sårbarheden er udnyttet og persondata er kompromitteret, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne, og så bør I vurdere det konkret.
Hvordan tjekker vi, om vores SharePoint allerede er opdateret?
Gå ind i SharePoint Central Administration under systemindstillinger og se den installerede build-version. Er den 16.0.20326.20090 eller nyere, er I ikke berørt af denne konkrete fejl.
Rammer fejlen også SharePoint Online (Microsoft 365)?
Denne konkrete sårbarhed er beskrevet for SharePoint Server, altså den version, man selv installerer og drifter. SharePoint Online opdateres af Microsoft centralt, og kunder skal typisk ikke selv gøre noget der.
Ramte produkter
Microsoft: Sharepoint Server
< 16.0.20326.20090
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of input during web page generation (‘cross-site scripting’) in Microsoft Office SharePoint allows an authorized attacker to perform spoofing over a network.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.