CVE-2026-70009: Kritisk sårbarhed i Azure Arc
Kritisk fejl i Azure Arc giver angribere mulighed for at hæve rettigheder uden login. Opdatér nu.
Hvad er det?
CVE-2026-70009 er en sårbarhed af typensti-gennemgang, hvilket betyder at en angriber kan narre systemet til at tilgå filer og mapper uden for de tilladte områder. Fejlen ligger i Azure Arc, Microsofts tjeneste til at administrere servere og ressourcer på tværs af miljøer. En angriber kan udnytte sårbarheden over netværket uden at have et gyldigt login og uden at kræve handling fra en bruger. Resultatet er, at angriberen kan hæve sine rettigheder i systemet og potentielt overtage kontrollen med ressourcer tilknyttet Azure Arc.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der benytter Azure Arc til at administrere servere, Kubernetes-klynger eller andre ressourcer, hvad enten de befinder sig lokalt, i andre skymiljøer eller i Azure. Det gælder særligt SMV’er og kommuner, der bruger Azure Arc til central styring af hybrid-infrastruktur. NVD har endnu ikke offentliggjort specifikke versionsnumre. Kontrollér med Microsoft, hvilke versioner der er berørt, og om jeres installation er registreret som sårbar.
Hvad kan ske?
En angriber, der udnytter sårbarheden, kan hæve sine rettigheder i det system, Azure Arc administrerer. I praksis betyder det, at en uautoriseret person udefra kan få kontrol over servere eller tjenester, som I administrerer via Azure Arc. Det kan føre til uautoriserede ændringer i konfigurationer, adgang til følsomme data eller misbrug af jeres infrastruktur som springbræt til andre systemer. Fortrolighed er delvist påvirket, men integriteten af jeres systemer er i høj risiko.
Hvor alvorligt er det?
CVSS-scoren er 9,3 ud af 10, hvilket klassificeres som kritisk. Angrebet kan udføres over netværket uden krav om login og uden at en bruger skal klikke på noget. Sårbarheden påvirker ressourcer uden for det direkte angrebspunkt, da den er scope-ændret, det vil sige at konsekvenserne kan sprede sig til tilknyttede systemer. Der er ikke offentliggjort bekræftede eksempler på aktiv udnyttelse endnu, men den lave angrebskompleksitet gør det realistisk at forvente forsøg kort tid efter offentliggørelsen.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge for at beskytte jeres miljø:
- Installér den seneste opdatering til Azure Arc så snart Microsoft frigiver den. Følg Microsofts sikkerhedsbulletin for CVE-2026-70009 og hold jeres Azure Arc-agenter opdaterede.
- Identificér alle servere og ressourcer i jeres organisation, der er tilknyttet Azure Arc, og kortlæg, hvilke der er eksponeret mod netværket.
- Begræns netværksadgangen til Azure Arc-administrerede endepunkter via firewall-regler eller netværkssegmentering, så kun betroede IP-adresser kan nå dem.
- Gennemgå logfiler fra Azure Arc for usædvanlig aktivitet, herunder uventede rettigheds- eller konfigurationsændringer, fra perioden efter 17. september 2026.
- Har I ikke ressourcer til at gennemgå og sikre jeres Azure Arc-miljø internt inden for 48 timer, så kontakt en ekstern sikkerhedskonsulent for assistance.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Azure Arc-agenter på alle tilknyttede systemer hurtigst muligt og følger Microsofts officielle vejledning for denne sårbarhed. I mellemtiden bør I begrænse netværksadgangen til Arc-administrerede ressourcer som en forebyggende foranstaltning. Det er ikke forsvarligt at vente til næste planlagte vedligeholdelsesvindue, da angrebet ikke kræver login eller brugerinteraktion. Har I brug for hjælp til vurdering eller afhjælpning, står vi klar til at assistere.
Tidslinje
Konkrete eksempler
Kommunal it-afdeling med hybrid serveropsætning
En mellemstor dansk kommune bruger Azure Arc til at administrere lokale Windows-servere og cloudbaserede ressourcer samlet fra Azure-portalen. En angriber udefra opdager, at kommunens Arc-endepunkter er tilgængelige fra internettet, og udnytter CVE-2026-70009 til at hæve sine rettigheder uden at have et gyldigt login. Angriberen kan herefter ændre politikker på de administrerede servere og potentielt tilgå følsomme systemer, herunder fagsystemer med borgernes personoplysninger.
Ofte stillede spørgsmål
Bruger vi Azure Arc, og er vi dermed i risiko?
Azure Arc bruges typisk af virksomheder, der administrerer servere eller Kubernetes-klynger på tværs af lokale og cloudbaserede miljøer via Microsoft Azure-portalen. Tjek om I har Azure Arc-agenter installeret på jeres servere ved at søge efter ‘Azure Connected Machine Agent’ i jeres systemoversigt eller i Azure-portalen under Azure Arc-ressourcer.
Kan vi vente med opdateringen til weekenden?
Vi fraråder det. CVSS-scoren på 9,3 og det faktum, at angrebet ikke kræver login eller brugerhandling, betyder at risikoen er høj fra det øjeblik, sårbarheden er offentligt kendt. Jo længere I venter, jo større er sandsynligheden for, at angribere begynder at udnytte den aktivt.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå logfiler fra Azure Arc og jeres servere for usædvanlige hændelser efter 17. september 2026, herunder uventede rettighedsændringer, nye brugerkonti eller konfigurationsændringer, der ikke er godkendt af jeres it-team. Aktivér eventuelt Microsoft Defender for Cloud, hvis det ikke allerede er slået til, da det kan hjælpe med at detektere mistænkelig aktivitet i Arc-tilknyttede ressourcer.
Skal vi anmelde et eventuelt sikkerhedsbrud til Datatilsynet?
Hvis I konstaterer, at sårbarheden er udnyttet, og at personoplysninger kan være tilgået eller ændret, skal I vurdere, om det udgør et brud på persondatasikkerheden. I så fald skal I som udgangspunkt anmelde det til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på bruddet, jf. databeskyttelsesforordningen (GDPR) artikel 33.
Hvad er Azure Arc, og hvad bruges det til?
Azure Arc er en Microsoft-tjeneste, der gør det muligt at administrere servere, databaser og Kubernetes-klynger fra en central Azure-portal, uanset om de befinder sig lokalt i jeres eget datacenter, hos en anden cloud-udbyder eller i Azure. Det bruges typisk til at holde styr på politikker, opdateringer og overvågning på tværs af flere miljøer.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Microsoft har ikke bekræftet en officiel midlertidig løsning. Det bedste I kan gøre, hvis en øjeblikkelig opdatering ikke er mulig, er at begrænse netværksadgangen til Arc-administrerede endepunkter via firewall-regler, så kun betroede netværk og IP-adresser kan kommunikere med dem. Kontakt Microsoft Support for vejledning specifikt til jeres opsætning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper limitation of a pathname to a restricted directory (‘path traversal’) in Azure Arc allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.