CVE-2026-77903: Kritisk godkendelsesfejl i Microsoft Dataverse

CVE-2026-77903 er en godkendelsesfejl i Microsoft Dataverse, Microsofts skybaserede datalagrings- og forretningslogikplatform. Fejlen er klassificeret som CWE-290, der dækker situationer, hvor en angriber kan narre et system til at tro, at forespørgslen kommer fra en betroet kilde. Det kaldes spoofing, altså identitetsforfalskning. Resultatet er, at angriberen får hævet sine rettigheder uden at kende en adgangskode eller have en konto i forvejen. Microsoft offentliggjorde sårbarheden den 17. september 2026.

Sårbarheden rammer virksomheder og organisationer, der bruger Microsoft Dataverse som del af Power Platform, Dynamics 365 eller egne Power Apps-løsninger. Det gælder både cloud-baserede og hybride opsætninger. Særligt udsatte er virksomheder, der har åbnet Dataverse-endpoints mod internettet, eller som bruger Dataverse til at styre adgang til følsomme forretningsdata. NVD angiver ingen specifik versionsbegrænsning, så alle aktive Dataverse-miljøer bør betragtes som potentielt berørte, indtil Microsoft bekræfter andet.

En angriber, der udnytter fejlen, kan få administrative rettigheder i jeres Dataverse-miljø. Det betyder adgang til alle data gemt i platformen, herunder kundeoplysninger, kontrakter og interne procesdata. Angriberen kan også ændre eller slette data og potentielt bevæge sig videre til tilknyttede systemer som Dynamics 365 eller Power Automate-flows. For en dansk SMV kan konsekvensen være et databrud med GDPR-anmeldepligt, tab af forretningskritiske data og driftsstop i de løsninger, der kører oven på Dataverse.

CVSS-scoren er 9.0, hvilket er kritisk. Angrebsvektoren er netværk, så angrebet kan udføres over internettet uden fysisk adgang. Angrebskompleksiteten er høj, hvilket betyder, at angrebet kræver særlige forudsætninger eller omstændigheder, og det reducerer sandsynligheden en smule sammenlignet med en lav kompleksitet. Der kræves ingen login og ingen handling fra en bruger. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning. Det er ikke bekræftet, at sårbarheden er aktivt udnyttet på nuværende tidspunkt, men den høje alvorlighed tilsiger, at der ikke bør ventes.

Følg disse trin i prioriteret rækkefølge for at beskytte jeres Dataverse-miljø:

1. Tjek Microsoft Security Update Guide for CVE-2026-77903 og anvend den officielle opdatering eller afhjælpning, så snart den er tilgængelig i jeres lejer.
2. Gennemgå adgangsstyringen i jeres Dataverse-miljø: begræns antallet af brugere med administrative roller til dem, der absolut har behov.
3. Aktivér og gennemgå logning i Microsoft Purview og Power Platform-administrationscenteret for at opdage usædvanlig aktivitet eller uautoriserede rettighedsforøgelser.
4. Begræns netværksadgangen til Dataverse-endpoints ved hjælp af IP-begrænsninger eller betinget adgang i Microsoft Entra ID, særligt for administrative funktioner.
5. Kontakt jeres it-leverandør eller Microsoft-partner, hvis I ikke selv har ressourcer til at vurdere eksponeringen eller anvende afhjælpningen inden for 48 timer.