CVE-2026-70352: Kritisk fejl i Azure AI Language
Kritisk fejl i Azure AI Language gør, at angribere kan udføre handlinger uden login. Microsoft retter fejlen på servicen, men I bør bekræfte status.
Hvad er det?
Sårbarheden CVE-2026-70352 findes i Azure AI Language, en cloud-tjeneste fra Microsoft til automatisk sprogforståelse, tekstanalyse og lignende funktioner, som mange virksomheder bygger chatbots og dokumentløsninger på. Fejlen skyldes mangelfuld autentificering, det vil sige, at en kritisk funktion i tjenesten ikke kræver login eller adgangskode, før den udfører handlinger. En angriber kan derfor tilgå funktionen direkte over internettet uden at bevise, hvem de er, og uden at et menneske på forhånd skal klikke på noget eller give adgang.
Hvem rammer det?
Det rammer virksomheder og kommuner, der har integreret Azure AI Language i egne applikationer, kundeservicebots, dokumentbehandling eller sprogfunktioner. Da tjenesten kører i Microsofts sky, er det ikke jeres egne servere eller enheder, der er sårbare, men den bagvedliggende tjeneste, I trækker på via en API-nøgle eller integration.
Hvad kan ske?
En angriber, der udnytter fejlen, kan opnå højere rettigheder i tjenesten end tilsigtet, læse eller ændre data, der behandles gennem sprogfunktionen, og potentielt forstyrre driften af den løsning, I har bygget ovenpå. For en dansk virksomhed betyder det risiko for, at kundedata eller interne dokumenter, som sendes til analyse, kan blive tilgået eller manipuleret af uvedkommende.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 10 ud af 10, det højeste niveau. Den kræver ikke login, kræver ikke at nogen klikker på noget, og kan udnyttes over netværket med lav teknisk kompleksitet. Konsekvensen ved udnyttelse rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ingen kendte tegn på, at fejlen aktivt er udnyttet ude i verden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Da Azure AI Language er en tjeneste, Microsoft driver og retter centralt, ligger hovedansvaret for opdateringen hos Microsoft. I skal alligevel handle for at bekræfte og begrænse jeres egen risiko.
- Tjek Azure Service Health og jeres Azure-portal for beskeder om, at fejlen er rettet på jeres region og abonnement.
- Gennemgå adgangslogs for jeres integration med Azure AI Language for usædvanlig aktivitet i perioden omkring offentliggørelsen.
- Roter API-nøgler og adgangsoplysninger til tjenesten som en ekstra forholdsregel, hvis I ikke har gjort det for nylig.
- Begræns netværksadgangen til jeres integration, så kun kendte systemer kan kalde tjenesten.
- Dokumentér jeres kontrol og gem bekræftelsen fra Microsoft, hvis I senere skal vise, at I har handlet ansvarligt.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om, hvordan jeres integration er eksponeret.
Bekræft opdatering hos Microsoft denne uge
Vi anbefaler, at I bekræfter, at Microsoft har rettet fejlen på jeres Azure-abonnement, og at I roterer nøgler til jeres integration som en ekstra sikkerhed. Det er i orden at vente med at rotere nøgler til efter en planlagt driftsvindue, da der ikke er kendt aktiv udnyttelse, men vi vil ikke anbefale at vente længere end en uge med at gennemgå logs. Har I ikke selv overblik over jeres integration med Azure AI Language, bør I få hjælp til at kortlægge den.
Tidslinje
Konkrete eksempler
Kundeservicebot hos en dansk detailkæde
En dansk detailkæde bruger Azure AI Language til at analysere kundehenvendelser i deres chatbot. Hvis en angriber udnytter fejlen, kan de potentielt tilgå den bagvedliggende funktion uden login og læse eller ændre data fra kundedialoger, som behandles i tjenesten.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun berørt, hvis jeres virksomhed bruger Azure AI Language, for eksempel til chatbots, tekstanalyse eller dokumentbehandling. Tjek jeres Azure-abonnement for at se, om tjenesten er aktiveret.
Skal vi selv installere en opdatering?
Nej, fejlen rettes af Microsoft i selve cloud-tjenesten. I skal bekræfte, at rettelsen er anvendt på jeres abonnement, men I skal ikke installere noget selv.
Kan vi vente til weekenden med at reagere?
Ja, hvis I ikke har tegn på uautoriseret adgang. Da der ikke er kendt aktiv udnyttelse, er det acceptabelt at gennemgå logs og rotere nøgler i løbet af den kommende arbejdsuge.
Hvordan ved vi, om vores data har været udsat?
Gennemgå adgangslogs for jeres integration med Azure AI Language i tiden omkring offentliggørelsen den 3. september 2026, og se efter kald fra ukendte IP-adresser eller usædvanlige mønstre.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået eller ændret uautoriseret. Uden tegn på misbrug er der ikke grundlag for en anmeldelse.
Hvordan finder vi ud af, om vi bruger Azure AI Language?
Spørg jeres udviklere eller leverandør, om nogen af jeres løsninger kalder Azure Cognitive Services eller Azure AI Language via en API-nøgle. Det fremgår også af jeres Azure-ressourceoversigt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Missing authentication for critical function in Azure AI Language allows an unauthorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.