CVE-2026-69851: SSRF-sårbarhed i Azure Active Directory

CVE-2026-69851 er en SSRF-sårbarhed, forkortelse for server-side request forgery, i Azure Active Directory. Det betyder, at en server kan snydes til at sende forespørgsler til interne systemer eller tjenester på angriberens vegne, i stedet for at gøre det på egne vegne. I dette tilfælde bruges fejlen til at eskalere rettigheder, altså gå fra en almindelig eller lavt privilegeret konto til langt højere adgang i Azure Active Directory, det identitetssystem der styrer login til Microsoft 365, Entra-integrerede apps og mange andre skytjenester. Fejlen ligger i selve Microsofts skyplatform, ikke i software I selv installerer.

Sårbarheden findes i Azure Active Directory, som langt de fleste danske virksomheder og kommuner bruger som identitetsplatform bag Microsoft 365, Teams, SharePoint og andre Azure-baserede tjenester. Der er ikke angivet specifikke versionsnumre, fordi det er en skytjeneste, som Microsoft driver og opdaterer centralt. Alle organisationer med et Azure AD- eller Entra ID-lejemål er potentielt omfattet, uanset virksomhedens størrelse.

En angriber, der allerede har adgang til en almindelig brugerkonto, for eksempel via en phishing-mail eller en kompromitteret medarbejderkonto, kan udnytte fejlen til at hæve sine rettigheder markant. I værste fald opnås administratoradgang til hele identitetsplatformen, hvilket giver mulighed for at læse og ændre data i alle tilkoblede systemer, oprette nye konti med høje rettigheder eller lukke legitime brugere ude.

CVSS-scoren er 9,9 ud af 10, kritisk. Angrebet kræver kun lav privilegeret adgang i forvejen (en almindelig brugerkonto er nok), ingen brugerhandling fra offeret, og kan udføres over netværket uden fysisk adgang. Fordi angrebsomfanget er markeret som ændret (scope changed), betyder det, at konsekvenserne rækker ud over den sårbare komponent selv og kan påvirke hele identitetslejemålet. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen.

Fordi sårbarheden ligger i en skytjeneste, som Microsoft selv driver, er det primært Microsofts ansvar at lukke hullet på serversiden. Alligevel bør I sikre jer, at I står godt stillet.

1. Tjek Microsofts sikkerhedscenter (Microsoft Security Response Center) og jeres eget Message Center i Microsoft 365 admin for bekræftelse på, at rettelsen er udrullet i jeres lejemål.
2. Gennemgå konti med administrative eller privilegerede roller i Azure AD/Entra ID, og fjern unødvendige rettigheder efter mindste privilegium-princippet.
3. Aktivér eller styrk betinget adgang (conditional access) og multifaktorgodkendelse på alle konti, så en kompromitteret adgangskode ikke i sig selv giver adgang.
4. Overvåg logon- og revisionslogs i Azure AD for usædvanlige rettighedsændringer eller nye administratorkonti i perioden omkring offentliggørelsen.
5. Roter adgangskoder og nøgler for konti med forhøjede rettigheder, hvis I finder tegn på uregelmæssig aktivitet.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I finder spor af misbrug, eller hvis I er i tvivl om, om jeres lejemål er beskyttet.