CVE-2026-70332: Kritisk SSRF-fejl i Microsoft SharePoint
SSRF-fejl i Microsoft SharePoint (CVE-2026-70332) lader en angriber få serveren til at sende forespørgsler på sine vegne. Installer opdatering.
Hvad er det?
SSRF, server-side request forgery, er en sårbarhed hvor en server kan narres til at sende forespørgsler til systemer, angriberen normalt ikke har adgang til. CVE-2026-70332 er en sådan fejl i Microsoft Office SharePoint. En uautoriseret angriber kan udnytte fejlen til at forfalske (spoofing) forespørgsler over netværket, så SharePoint-serveren sender kald på angriberens vegne, for eksempel til interne netværksressourcer eller til metadata-tjenester i skyen, hvor der ofte ligger adgangsnøgler.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Microsoft SharePoint Server on-premises eller den lokale del af en hybrid-opsætning. NVD-data angiver ingen konkrete versionsnumre, så it-afdelingen skal selv tjekke den installerede SharePoint-version mod Microsofts sikkerhedsbulletin for CVE-2026-70332. Rene skybaserede SharePoint Online-lejemål patches typisk centralt af Microsoft.
Hvad kan ske?
En angriber kan bruge den sårbare SharePoint-server som mellemmand til at nå systemer, der normalt ikke er tilgængelige fra internettet, for eksempel interne API’er, databaser eller cloud-tjenesters metadata-endpoints. Herfra kan angriberen udtrække adgangsnøgler eller tokens og bruge dem til at få fodfæste dybere i netværket.
Hvor alvorligt er det?
CVSS-score er 9,6 ud af 10, kritisk. Angrebet kræver ingen login, men kræver brugerinteraktion, for eksempel at en medarbejder klikker et link eller åbner et dokument, som udløser serverens forespørgsel. Scope er markeret som ændret, hvilket betyder at konsekvensen breder sig ud over selve SharePoint-komponenten. Der er ikke registreret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Installer Microsofts sikkerhedsopdatering til den ramte SharePoint-version, så snart den kan testes og udrulles.
- Kortlæg hvilke SharePoint-servere I har on-premises eller i hybrid-miljø, og notér nuværende versionsnummer.
- Begræns udgående netværkstrafik fra SharePoint-serverne med firewall-regler, så serveren ikke unødigt kan nå interne systemer eller cloud-metadata-endpoints.
- Gennemgå logs for usædvanlige udgående forespørgsler fra SharePoint-serverne i perioden op til opdateringen.
- Informer medarbejdere om ikke at klikke på ukendte links i SharePoint-relaterede mails eller beskeder, da brugerinteraktion er en del af angrebskæden.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at teste og udrulle opdateringen inden for kort tid.
Opdatér inden for 7 dage
Vi anbefaler at installere Microsofts sikkerhedsopdatering til SharePoint hurtigst muligt, da sårbarheden er kritisk og kan give angribere adgang til interne systemer via serveren. Det er kun forsvarligt at vente, hvis jeres SharePoint-server er fuldstændig isoleret fra internettet og ikke tilgængelig for eksterne brugere eller mails med links.
Tidslinje
Konkrete eksempler
Phishing-link udløser intern forespørgsel
En kommune bruger SharePoint som internt intranet. En medarbejder modtager en mail med et link, der ser ud til at komme fra en kollega. Når linket åbnes i SharePoint, udløser det en SSRF-forespørgsel til en intern cloud-metadata-tjeneste, hvorfra angriberen får adgangsnøgler til at gå videre i netværket.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-70332?
Hvis I kører Microsoft SharePoint Server on-premises eller i en hybrid-opsætning, skal I tjekke den installerede version mod Microsofts sikkerhedsbulletin for CVE-2026-70332. Rene SharePoint Online-lejemål patches typisk centralt.
Hvordan tjekker vi om vores SharePoint er sårbar?
Gå ind i Central Administration, find produktversionen under systemoplysninger, og sammenlign med versionsnummeret i Microsofts opdateringsartikel for denne sårbarhed.
Kan vi vente til weekenden med at opdatere?
Risikoen er kritisk med en CVSS-score på 9,6. Der er ikke set aktiv udnyttelse på offentliggørelsesdatoen, men vi fraråder at vente længere end nødvendigt for test og udrulning.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer et faktisk sikkerhedsbrud, hvor persondata er blevet kompromitteret. Selve tilstedeværelsen af sårbarheden udløser ikke en anmeldelsespligt.
Rammer det SharePoint Online i Microsoft 365?
SSRF-fejl af denne type retter sig typisk mod on-premises og hybrid-installationer. Microsoft opdaterer cloud-tjenesten centralt, så kunder på ren SharePoint Online skal normalt ikke selv gøre noget.
Kræver angrebet, at en medarbejder gør noget?
Ja. CVSS-vektoren viser krav om brugerinteraktion, for eksempel at en medarbejder klikker et link eller åbner et forberedt dokument, som udløser serverens forespørgsel.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Server-side request forgery (ssrf) in Microsoft Office SharePoint allows an unauthorized attacker to perform spoofing over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.