CVE-2026-70200: Kritisk sårbarhed i Azure Logic Apps
Kritisk fejl i Azure Logic Apps lader angribere uden login få fuld adgang til data og systemer. Tjek jeres brug nu.
Hvad er det?
CVE-2026-70200 er en kritisk sårbarhed i Azure Logic Apps, Microsofts skybaserede automatiseringsplatform. Fejlen skyldes to svagheder: en sti-gennemløbsfejl, hvor en angriber manipulerer filstier for at komme uden for tilladte mapper, og en adgangskontrolsvaghed, der giver mulighed for at eskalere rettigheder, altså opnå højere adgangsniveau end tilsigtet. Resultatet er, at en angriber udefra, uden brugernavn eller adgangskode, kan hæve sine egne rettigheder i systemet og dermed tilgå eller ændre data, der normalt er beskyttet.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der anvender Azure Logic Apps som en del af deres it-infrastruktur eller forretningsautomatisering. Det gælder særligt SMV’er og kommuner, der har integreret Logic Apps med andre systemer som SharePoint, Dynamics 365, SQL-databaser eller tredjepartstjenester. Der er ikke offentliggjort specifikke versioner i NVD-data, da Azure Logic Apps er en cloud-tjeneste, der administreres af Microsoft. Status på opdatering bør afklares direkte via Microsofts servicestatus og sikkerhedsbulletiner.
Hvad kan ske?
En angriber kan uden forudgående adgang tilgå fortrolige data, der behandles eller lagres via jeres Logic Apps-flows, herunder kundedata, forretningsoplysninger og integrerede systemdata. Angriberen kan også ændre data eller workflows, hvilket kan føre til fejl i automatiserede forretningsprocesser. For en dansk virksomhed kan det betyde et brud på GDPR-forpligtelser, driftstab og tab af tillid hos kunder og samarbejdspartnere.
Hvor alvorligt er det?
CVSS-scoren er 10.0, som er den højest mulige, og klassificeres som kritisk. Angrebet kan udføres over nettet uden login og uden nogen handling fra en bruger. Omfanget af skaden rækker ud over det direkte angrebspunkt, da fejlen kan påvirke andre systemer, som Logic Apps er integreret med. Der er ikke offentliggjort oplysninger om aktiv udnyttelse på nuværende tidspunkt, men den meget lave angrebskompleksitet gør det sandsynligt, at angribere hurtigt vil forsøge at udnytte fejlen.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge for at reducere risikoen fra CVE-2026-70200:
- Tjek Microsofts officielle sikkerhedsbulletin for CVE-2026-70200 og anvend eventuelle opdateringer eller afhjælpninger, som Microsoft har udsendt til Azure Logic Apps.
- Gennemgå jeres aktive Logic Apps-workflows og identificér, hvilke der har adgang til følsomme data eller kritiske systemer, og begræns deres tilladelser til det absolut nødvendige.
- Aktivér eller gennemgå logning og overvågning for Azure Logic Apps i Microsoft Defender for Cloud eller Azure Monitor, så I kan opdage unormal aktivitet.
- Begræns netværksadgang til Logic Apps-endepunkter via IP-restriktioner eller private endepunkter, hvor det er muligt.
- Orienter jeres databeskyttelsesansvarlige om sårbarheden, så I er klar til at vurdere, om et eventuelt brud skal anmeldes til Datatilsynet inden 72 timer.
- Kontakt en ekstern sikkerhedskonsulent, hvis I ikke har ressourcer til selv at gennemgå logfiler og konfigurationer, eller hvis I opdager tegn på kompromittering.
Opdatér og gennemgå inden for 24 timer
Vi anbefaler, at I straks tjekker Microsofts sikkerhedsbulletin og følger de anvisninger, Microsoft har udsendt for Azure Logic Apps. Gennemgå samtidig, hvilke data og systemer jeres Logic Apps-flows har adgang til, og begræns tilladelserne. Det er ikke forsvarligt at vente til weekenden med en CVSS 10-sårbarhed, der ikke kræver login. Har I ikke selv ressourcerne til at gennemføre dette, er I velkomne til at kontakte os for assistance.
Tidslinje
Konkrete eksempler
Regnskabsdata eksponeret via Logic Apps-flow
En mellemstor dansk produktionsvirksomhed bruger Azure Logic Apps til at automatisere overførsler af fakturaer og ordredata mellem deres ERP-system og en ekstern regnskabsplatform. En angriber udnytter CVE-2026-70200 til at eskalere rettigheder i Logic Apps-miljøet og får dermed adgang til flows, der indeholder leverandøroplysninger og kundedata. Virksomheden opdager først bruddet, da en leverandør spørger til ukendte adgangsforsøg på fælles integrationsdata. På dette tidspunkt er anmeldelsesfristen på 72 timer allerede ved at udløbe.
Ofte stillede spørgsmål
Bruger vi Azure Logic Apps, og er vi dermed berørt?
Tjek jeres Azure-portal under Logic Apps-tjenesten. Har I ét eller flere aktive workflows der, er I potentielt berørt. Logic Apps bruges ofte til at automatisere processer som mailhåndtering, dataoverførsler og systemintegrationer, og det er ikke altid synligt for alle i organisationen, at tjenesten er i brug.
Kan vi vente til næste planlagte vedligeholdelsesvindue?
Nej. En CVSS-score på 10.0 uden krav om login eller brugerhandling betyder, at angrebet kan ske uden varsel. Vi anbefaler, at I handler inden for 24 timer ved at følge Microsofts anvisninger og gennemgå jeres konfiguration.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå logfiler for jeres Logic Apps-workflows i Azure Monitor eller Microsoft Defender for Cloud. Se efter uventede kald, ukendte IP-adresser eller ændringer i workflows, som ikke er foretaget af jeres eget personale. Kontakt en sikkerhedskonsulent, hvis I er usikre på, hvad I ser.
Skal vi anmelde dette til Datatilsynet?
I skal kun anmelde, hvis I konstaterer et faktisk brud på persondatasikkerheden. Selve eksistensen af en sårbarhed er ikke anmeldepligtig. Opdager I derimod tegn på, at persondata er tilgået eller ændret uden tilladelse, har I 72 timer til at anmelde bruddet til Datatilsynet. Involvér jeres databeskyttelsesansvarlige nu, så I er klar, hvis det bliver nødvendigt.
Håndterer Microsoft ikke dette automatisk, da det er en cloudtjeneste?
Microsoft er ansvarlig for at udsende rettelser til Azure-platformen, men I er ansvarlige for at kontrollere jeres egne konfigurationer, adgangsstyring og workflows. En rettelse fra Microsoft lukker ikke automatisk risikoen, hvis jeres opsætning giver unødvendigt brede rettigheder.
Hvad koster det at vente?
Udnyttelse af denne sårbarhed kan give en angriber adgang til alle data og systemer, som jeres Logic Apps er integreret med. Det kan betyde et GDPR-brud med potentielle bøder, driftsafbrydelse og skade på omdømmet. Omkostningen ved at handle hurtigt er langt lavere end konsekvenserne af et vellykket angreb.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper limitation of a pathname to a restricted directory (‘path traversal’) in Azure Logic Apps allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.