CVE-2026-85885: Kritisk kommandoinjektion i M365 Copilot
CVE-2026-85885: Kommandoinjektion i M365 Copilot giver angribere fuld kontrol. Deaktivér Copilot eller afvent Microsofts opdatering.
Hvad er det?
CVE-2026-85885 er en kommandoinjektion-fejl, det vil sige en sårbarhed hvor en angriber kan sende særligt udformede input, der udføres som systemkommandoer. Fejlen sidder i Microsoft 365 Copilot og betyder, at en bruger med blot almindelig adgang kan eskalere sine rettigheder og opnå kontrol langt ud over det tilsigtede. Fejlen kræver hverken særlige rettigheder eller handling fra andre brugere og kan udnyttes direkte over netværket.
Hvem rammer det?
Fejlen rammer organisationer, der anvender Microsoft 365 Copilot. Det dækker virksomheder og kommuner med M365 Business- eller Enterprise-licenser, hvor Copilot-funktionen er aktiveret. Der er ikke offentliggjort specifikke versioner, da Copilot er en cloudbaseret tjeneste leveret af Microsoft. Alle lejere, cloud-lejere, det vil sige organisationer med Copilot slået til, betragtes som potentielt berørte, indtil Microsoft har bekræftet, at rettelsen er rullet ud.
Hvad kan ske?
En angriber med en almindelig brugerkonto i jeres Microsoft 365-miljø kan udnytte fejlen til at overtage privilegerede roller, tilgå fortrolige data, ændre eller slette filer og potentielt sprede sig til andre systemer forbundet med lejeren. For en dansk SMV betyder det risiko for tab af forretningskritiske dokumenter, kundeinformationer og eventuelt brud på GDPR-forpligtelserne, som kræver anmeldelse til Datatilsynet inden for 72 timer.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden fysisk adgang. Det kræver kun en lavprivilegeret konto, det vil sige en helt almindelig medarbejderkonto. Der kræves ingen handling fra andre brugere. Fejlen bryder ud af den ramme, den angrebne tjeneste normalt opererer inden for, og giver angriberen fuld fortrolighed, integritet og tilgængelighed over de berørte ressourcer. Der er endnu ikke offentliggjort oplysninger om aktiv udnyttelse.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge for at reducere risikoen hurtigst muligt:
- Tjek om Copilot er aktivt i jeres M365-lejer via Microsoft 365 Admin Center under Copilot-indstillinger, og deaktivér det midlertidigt, hvis I ikke har kritisk afhængighed af funktionen.
- Gennemgå adgangslogge i Microsoft Entra ID og Microsoft Purview for usædvanlige rettighedseskalationer eller uventede administrative handlinger siden 17. september 2026.
- Sørg for, at princippet om mindste privilegium er håndhævet: fjern unødvendige brugere fra Copilot-licenser, så angrebsfladen mindskes.
- Hold øje med Microsofts Security Update Guide for CVE-2026-85885 og anvend rettelsen, så snart Microsoft bekræfter udrulning til jeres lejer.
- Kontakt en ekstern sikkerhedskonsulent, hvis I opdager tegn på kompromittering, eller hvis I ikke har ressourcer til selv at gennemgå logdata tilstrækkeligt.
Deaktivér Copilot inden for 24 timer
Vi anbefaler, at I midlertidigt deaktiverer Microsoft 365 Copilot, indtil Microsoft har bekræftet, at rettelsen er rullet ud til jeres lejer. Den potentielle skade ved at vente, herunder ukontrolleret rettighedseskalation i hele jeres M365-miljø, overstiger klart den kortvarige produktivitetsulempe ved at slå Copilot fra. Har I ikke mulighed for at overvåge jeres miljø selv, kontakt os, så vi kan hjælpe med loganalyse og midlertidige kompenserende kontroller.
Tidslinje
Konkrete eksempler
Medarbejder eskalerer til global administrator
En dansk advokatvirksomhed med 40 ansatte bruger M365 Copilot til at opsummere dokumenter og skrive e-mails. En medarbejder med en standardkonto opdager fejlen og sender et særligt udformet input via Copilot, der eskalerer kontoen til global administrator. Angriberen får herefter adgang til alle klientfiler, kan ændre brugeres adgangskoder og eksportere hele postkasseindholdet, uden at der udløses nogen advarsler i standardopsætningen.
Ofte stillede spørgsmål
Hvordan ved vi, om Copilot er aktivt hos os?
Log ind på Microsoft 365 Admin Center og navigér til Indstillinger og derefter Copilot. Her kan I se, om licenser er tildelt og funktionen er slået til for brugere i jeres organisation.
Kan vi vente med at handle til weekenden?
Vi anbefaler ikke at vente. Fejlen kan udnyttes af enhver bruger med en gyldig M365-konto og kræver ingen hjælp fra andre. Jo længere Copilot forbliver aktivt uden kompenserende kontroller, jo større er vinduet for et angreb. Deaktivering tager få minutter og er let at fortryde.
Er vi forpligtet til at anmelde dette til Datatilsynet?
En anmeldelse til Datatilsynet er kun påkrævet, hvis I konstaterer et faktisk brud på persondatasikkerheden. Selve eksistensen af sårbarheden udløser ikke en anmeldepligt. Opdager I derimod tegn på, at data er tilgået uretmæssigt, skal I anmelde inden for 72 timer fra konstateringen.
Hvornår kommer Microsofts rettelse?
Microsoft har endnu ikke offentliggjort en dato for rettelsen. Følg Microsofts Security Update Guide og søg på CVE-2026-85885 for løbende opdateringer. Da Copilot er en cloudtjeneste, vil rettelsen sandsynligvis rulles ud automatisk, men I bør bekræfte dette aktivt.
Hvad er risikoen, hvis en medarbejderkonto allerede er kompromitteret?
Hvis en angriber allerede har adgang til en medarbejderkonto, kan de bruge denne sårbarhed til at eskalere til administratorniveau og dermed få fuld kontrol over jeres M365-lejer, herunder e-mail, filer og brugerstyring. Det er netop derfor, loggennemgang er et prioriteret trin.
Kan vi begrænse risikoen uden at slå Copilot helt fra?
Ja, delvist. I kan fjerne Copilot-licenser fra brugere, der ikke har et aktivt arbejdsbehov for funktionen, og sikre, at ingen brugere har unødvendige administrative rettigheder. Det reducerer angrebsfladen, men eliminerer den ikke. Fuldstændig deaktivering er den sikreste midlertidige foranstaltning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Improper neutralization of special elements used in a command (‘command injection’) in M365 Copilot allows an authorized attacker to elevate privileges over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.