CVE-2026-80098: Kritisk signaturfejl i Copilot Studio

CVE-2026-80098 findes i Microsoft Copilot Studio, en sky-tjeneste til at bygge AI-copiloter, chatbots og automatiseringer til virksomhedens egne data og processer. Fejlen skyldes mangelfuld kontrol af kryptografiske signaturer, det vil sige det digitale bevis for, at en besked eller anmodning kommer fra en betroet kilde og ikke er ændret undervejs. Fordi Copilot Studio ikke tjekker denne signatur korrekt, kan en angriber forfalske en anmodning, så den ser godkendt ud, og på den måde få rettigheder, tjenesten ellers ikke skulle give.

Sårbarheden rammer virksomheder og kommuner, der bruger Microsoft Copilot Studio til at bygge egne copiloter eller automatiseringer, ofte koblet til Power Platform, Dynamics 365 eller Microsoft Teams. Da det er en sky-tjeneste, er alle kunder med copiloter oprettet i tjenesten potentielt eksponeret, uanset lokal opsætning eller egne opdateringer.

En angriber kan uden login eller forudgående adgang give sig selv højere rettigheder inde i en copilot-løsning. I praksis kan det give adgang til at ændre, hvordan copiloten svarer eller handler på virksomhedens vegne, for eksempel i en kundeservicebot eller et internt HR-værktøj, og i nogle tilfælde adgang til de data og systemer, copiloten er koblet til.

CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ikke login eller forudgående adgang, og det kræver ikke, at en medarbejder klikker på noget. Angriberen skal blot kunne nå tjenesten over internettet. Konsekvensen er primært, at angriberen kan ændre data og rettigheder (integritet vurderet højt), mens risikoen for direkte læsning af fortrolige data er begrænset (fortrolighed vurderet lavt), og der er ingen risiko for nedbrud af tjenesten. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.

Da Copilot Studio er en sky-tjeneste, retter Microsoft fejlen centralt, men I bør stadig sikre jer, at jeres opsætning ikke er sårbar for følgeskader.

1. Bekræft i Microsoft 365-meddelelsescenter, at rettelsen er rullet ud til jeres tenant, og følg op hvis den ikke er registreret.
2. Gennemgå rettigheder og datakoblinger for eksisterende copiloter, og fjern unødvendige integrationer til følsomme systemer.
3. Begræns, hvem i organisationen der kan oprette og redigere copiloter, til et mindre antal betroede medarbejdere.
4. Aktivér og gennemgå logning i Power Platform og Copilot Studio for usædvanlig aktivitet i perioden op til offentliggørelsen.
5. Kontakt Microsoft support eller en sikkerhedsrådgiver, hvis I har kritiske copiloter med adgang til fortrolige data eller kernesystemer, for at få bekræftet, at rettelsen dækker jeres opsætning.