CVE-2026-85878: Kritisk rettighedsfejl i Azure Database for PostgreSQL

CVE-2026-85878 er en fejl i adgangsstyringen i Azure Database for PostgreSQL, Microsofts skyhostede PostgreSQL-tjeneste. Fejlen betyder, at en angriber, der allerede har en gyldig brugerkonto i tjenesten, kan hæve sine egne rettigheder langt ud over det tilladte. Adgangsstyringsfejlen, altså en situation hvor systemet ikke korrekt kontrollerer, hvad en bruger må gøre, er klassificeret som CWE-285. Fejlen kræver ikke særlige tekniske forudsætninger, og angrebet sker over netværket uden brugerhandling.

Fejlen rammer virksomheder og organisationer, der bruger Azure Database for PostgreSQL som skytjeneste hos Microsoft. Det gælder både enkeltservere og fleksible serverinstanser hostet i Azure. NVD angiver ikke specifikke versionsnumre, men da tjenesten er fuldt administreret af Microsoft, er det Microsofts ansvar at udbrede rettelsen. Danske SMV’er og kommuner, der har flyttet deres databasedrift til Azure, bør undersøge, om de er berørt.

En angriber med selv begrænset adgang til jeres Azure PostgreSQL-database kan udnytte fejlen til at opnå fuld kontrol over databaseserveren og alle data i den. Det betyder, at angriberen kan læse, ændre eller slette forretningskritiske data, herunder kundeoplysninger, ordredata og andre følsomme registre. Fordi fejlen rammer fortrolighed, integritet og tilgængelighed på højeste niveau, kan konsekvensen være datatab, brud på GDPR og driftsstop.

CVSS-scoren er 9,9 ud af 10, hvilket placerer fejlen i den kritiske kategori. Angrebet kræver netværksadgang og en gyldig brugerkonto, men ingen særlige rettigheder og ingen handling fra jeres brugere. Kompleksiteten er lav, hvilket betyder, at angrebet er let at udføre, når først adgang er opnået. Fejlen er scopet til at ramme uden for den berørte komponent, hvilket i praksis betyder, at skaden kan brede sig til hele det tilknyttede miljø. Der er ikke på nuværende tidspunkt offentliggjort dokumentation for aktiv udnyttelse.

Følg disse trin i prioriteret rækkefølge:

1. Kontrollér om jeres virksomhed bruger Azure Database for PostgreSQL. Tjek Azure-portalen under Databaser, og find aktive PostgreSQL-instanser.
2. Begræns adgangen til databasen straks: Gennemgå hvem der har brugerkonti, og fjern konti, der ikke er nødvendige. Skærp netværksreglerne, så kun godkendte IP-adresser og systemer har adgang.
3. Tjek Microsofts sikkerhedsopdateringer og servicemeddelelser i Azure Service Health. Da tjenesten er administreret af Microsoft, vil rettelsen typisk blive udrullet automatisk, men bekræft at den er anvendt på jeres instanser.
4. Gennemgå adgangslogge for usædvanlig aktivitet siden 18. september 2026. Kig efter brugere, der har fået adgang til tabeller eller data, de normalt ikke tilgår.
5. Kontakt jeres Microsoft-partner eller Azure-support for at få bekræftet, om jeres specifikke instanser er berørt og rettet.
6. Vurdér om hændelsen kræver anmeldelse til Datatilsynet. Hvis der er grund til at tro, at personoplysninger kan være blevet tilgået uretmæssigt, skal I anmelde inden for 72 timer fra tidspunktet for kendskabet til bruddet. Kontakt os, hvis I er i tvivl.