CVE-2026-69836: Kritisk fejl i Microsoft Entra ID
Kritisk fejl i Microsoft Entra ID (CVSS 10) kan give angribere kodekørsel uden login. Tjek jeres logs og administratoradgang i dag.
Hvad er det?
CVE-2026-69836 er en kritisk sårbarhed i Microsoft Entra ID, Microsofts skybaserede tjeneste til identitets- og adgangsstyring, tidligere kendt som Azure AD. Fejlen skyldes usikker deserialisering, det vil sige at tjenesten omdanner data fra brugere til programobjekter uden at kontrollere, om dataene er troværdige. En angriber kan udnytte dette til at få tjenesten til at køre skadelig kode, uden at have et login og uden at nogen bruger skal klikke på noget. Sårbarheden er vurderet til den højeste risikoscore, 10 ud af 10, fordi den kan udnyttes over internettet, kræver ingen rettigheder og kan ramme fortrolighed, integritet og tilgængelighed fuldt ud.
Hvem rammer det?
Sårbarheden rammer Microsoft Entra ID som tjeneste. Det betyder, at alle organisationer, der bruger Entra ID til at logge medarbejdere ind i Microsoft 365, Azure eller andre tilkoblede applikationer, er potentielt berørt. Der findes ingen lokal version at opdatere, fordi Entra ID drives og opdateres centralt af Microsoft. I praksis rammer det derfor stort set alle danske virksomheder og kommuner, der bruger Microsofts sky til identitetsstyring.
Hvad kan ske?
Kan en angriber udnytte sårbarheden, får vedkommende mulighed for at køre kode i selve identitetstjenesten. Det åbner for adgang til de konti, grupper og rettigheder, som Entra ID styrer, herunder postkasser, filer i SharePoint og OneDrive samt andre systemer, der bruger Entra ID til login. For en dansk virksomhed kan det i værste fald betyde, at en angriber overtager administratorrettigheder til hele Microsoft 365-miljøet og dermed får adgang til alle data og kan oprette nye brugere eller ændre adgangsregler.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Det betyder, at en angriber i princippet kan udnytte fejlen fra internettet uden at skulle overtale en medarbejder til at klikke på noget. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden er udnyttet i praksis, men fordi Entra ID er en central del af identitetsstyringen hos de fleste virksomheder, vurderer vi risikoen som meget høj, hvis fejlen ikke er lukket for jeres tenant.
Hvad gør jeg nu?
Fordi Entra ID er en skytjeneste, kan I ikke selv installere en opdatering. Microsoft retter fejlen centralt, men I bør stadig kontrollere, om jeres miljø er påvirket, og skærpe overvågningen.
- Tjek Microsofts servicestatus og meddelelsescenter for bekræftelse af, at fejlen i Entra ID er rettet for jeres tenant.
- Gennemgå logfiler for adgang og hændelser i Entra ID for usædvanlig aktivitet omkring offentliggørelsesdatoen.
- Kontrollér, at multifaktorgodkendelse og betingede adgangsregler er aktiveret for alle administratorkonti.
- Begræns antallet af globale administratorer og gennemgå, hvem der har privilegerede rettigheder i tenanten.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ser tegn på uautoriseret adgang, eller hvis I ønsker hjælp til at verificere jeres Entra ID-konfiguration.
Tjek status hos Microsoft i dag
Vi anbefaler, at I i dag kontrollerer jeres Entra ID-logs for usædvanlig aktivitet og sikrer, at multifaktorgodkendelse er aktiveret for alle administratorer. Da Microsoft selv retter fejlen i tjenesten, behøver I ikke installere noget, men vi anbefaler ikke at vente med gennemgangen af logs og adgangsrettigheder. Er I i tvivl om, hvordan jeres Entra ID-tenant er konfigureret, bør I få en ekstern gennemgang.
Tidslinje
Konkrete eksempler
Overtagelse af Microsoft 365-tenant
En dansk produktionsvirksomhed med 150 medarbejdere bruger Microsoft 365 og Entra ID til login for alle ansatte. En angriber udnytter fejlen i Entra ID til at få kodekørsel i identitetstjenesten og opretter en ny administratorkonto uden virksomhedens vidende. Med den konto får angriberen adgang til postkasser, filer og kundedata i hele organisationen, og virksomheden opdager først forholdet, da uvedkommende logins dukker op i logfilerne.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Sårbarheden findes i Microsoft Entra ID som tjeneste, så alle organisationer, der bruger Entra ID, er potentielt berørt. Tjek jeres meddelelsescenter i Microsoft 365-administrationen for oplysninger specifikt om jeres tenant.
Skal vi installere en opdatering selv?
Nej. Entra ID er en skytjeneste, som Microsoft opdaterer centralt. I skal derfor ikke installere noget, men bør bekræfte, at fejlen er rettet, og gennemgå jeres logs.
Kan vi vente til weekenden med at kigge på det?
Der er ikke oplysninger om aktiv udnyttelse ved offentliggørelsen, men risikoscoren er den højeste mulige. Vi anbefaler at gennemgå logs og administratoradgang samme dag i stedet for at vente.
Hvordan tjekker vi, om der har været uautoriseret adgang?
Gennemgå sign-in logs og audit logs i Entra ID-administrationen for usædvanlige logins, nye administratorkonti eller ændringer i adgangsregler omkring offentliggørelsesdatoen.
Hvad betyder deserialisering, og hvorfor er det et problem?
Deserialisering er den proces, hvor et system omdanner modtagne data til programobjekter, det kan arbejde med. Kontrolleres dataene ikke, kan en angriber sende specialdesignede data, der får systemet til at udføre skadelig kode.
Skal vi anmelde noget til myndighederne?
Kun hvis I finder konkrete tegn på, at der er sket uautoriseret adgang til persondata. I så fald skal I anmelde det til Datatilsynet inden 72 timer efter, I har konstateret bruddet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.