CVE-2026-69851: Kritisk sårbarhed i Azure Active Directory

CVE-2026-69851 er en såkaldt SSRF-sårbarhed (Server-Side Request Forgery — en fejl hvor en angriber kan få din server til at sende forespørgsler på vegne af sig selv) i Microsofts Azure Active Directory. Azure Active Directory er det system, mange virksomheder bruger til at styre, hvem der må logge ind på hvad.

Fejlen betyder, at en angriber, der allerede har et gyldigt — men lavt privilegeret — login, kan narre serveren til at handle på vegne af angriberen og dermed opnå langt højere rettigheder end tiltænkt. Det kræver ingen særlig teknisk snilde, og det kan gøres helt automatisk over internettet.

Sårbarheden rammer alle virksomheder, der bruger Microsoft Azure Active Directory — enten som en del af Microsoft 365, Azure-cloudmiljøet eller til at styre medarbejdernes adgang til systemer og applikationer. Det gælder for en stor del af danske SMV’er, da Azure AD er et af de mest udbredte adgangsstyringssystemer på markedet. Har du medarbejdere, der logger ind med en Microsoft-konto på arbejdsredskaber eller cloud-tjenester, er du sandsynligvis berørt.

En angriber, der har adgang til blot én medarbejderkonto — for eksempel via phishing eller et lækket password — kan udnytte denne sårbarhed til at eskalere sine rettigheder og potentielt få fuld kontrol over jeres Azure-miljø. Det åbner op for:

• Adgang til fortrolige data, e-mails og filer på tværs af hele virksomheden
• Mulighed for at oprette nye administratorkonti og låse jer ude
• Installation af malware eller ransomware i jeres systemer
• Sletning eller manipulation af kritiske data og sikkerhedskopier
• Brud på GDPR-reglerne, hvis persondata kompromitteres

Sårbarheden er vurderet til 9,9 ud af 10 (Kritisk) af sikkerhedseksperter — det er stort set den højest mulige score. Det skyldes en kombination af faktorer:

• Angrebet kan udføres over internettet uden at være fysisk til stede
• Det kræver kun et lavt privilegeret login — ikke administratoradgang
• Det kræver ingen interaktion fra jeres medarbejdere
• Konsekvenserne for fortrolighed, integritet og tilgængelighed af data er alle maksimale
• Angrebet kan potentielt sprede sig ud over jeres eget miljø til andre systemer

I praksis betyder det, at én kompromitteret medarbejderkonto kan give en angriber nøglerne til hele virksomhedens digitale infrastruktur.

Microsoft forventes at udgive en patch. Indtil du har bekræftet, at rettelsen er installeret, bør du tage følgende skridt med det samme:

1. Kontrollér om I bruger Azure Active Directory: Spørg din IT-ansvarlige eller -leverandør, om jeres virksomhed anvender Azure AD eller Microsoft Entra ID (det nye navn for Azure AD).
2. Aktivér eller kontrollér multifaktor-autentifikation (MFA): Sørg for, at alle konti — særligt dem med forhøjede rettigheder — kræver to-faktor-godkendelse. Det gør det markant sværere at misbruge et lækket password.
3. Gennemgå hvem der har adgang til hvad: Fjern unødvendige brugerrettigheder og begræns antallet af administratorkonti til dem, der absolut har brug for det.
4. Overvåg jeres Azure-logfiler: Se efter usædvanlige logins, nye administratorkonti eller uventede aktiviteter i jeres Azure-portal eller via jeres IT-leverandør.
5. Hold øje med Microsofts sikkerhedsopdateringer: Sørg for, at din IT-ansvarlige er klar til at installere patchen, så snart Microsoft udgiver den offcielt.
6. Kontakt din IT-leverandør: Hvis du ikke selv har ressourcerne til at håndtere dette, så ring til din IT-partner i dag og bed dem tage stilling til jeres eksponering.