Microsoft kommer att börja blockera obehöriga externa skript på Entra ID webbläsarbaserade inloggningssidor i mitten av oktober 2026. Uppdateringen av Entra ID-säkerheten syftar till att minska riskerna för skriptinjektion under autentisering, inklusive cross-site scripting-attacker.
Utrullningen bör vara klar i slutet av oktober. Samtidigt bör organisationer kontrollera om deras inloggningsprocesser är beroende av verktyg som injicerar skript på dessa sidor.
Ny policy begränsar skript under inloggning
Microsoft kommer att införa en striktare Content Security Policy, eller CSP, för webbläsarbaserad autentisering via login.microsoftonline.com. Enligt denna policy kommer inloggningssidor endast att tillåta skript från betrodda Microsoft-domäner för innehållsleverans.
Denna begränsning hjälper till att förhindra att obehörig kod körs under autentisering. Angripare kan exempelvis använda cross-site scripting för att injicera skadlig kod på sårbara sidor och försöka stjäla inloggningsuppgifter.
Microsoft tillkännagav först planerna på dessa skydd i november 2025. Företaget har nu påmint kunder om att förbereda sig innan reglerna börjar tillämpas.
Företag bör granska tillägg och inloggningsverktyg
Inför utrullningen rekommenderar Microsoft organisationer att sluta använda webbläsartillägg och verktyg som injicerar skript på inloggningssidor.
Även om dessa verktyg kan stödja befintliga arbetsflöden kan den nya policyn hindra deras injicerade kod från att köras. Därför bör företag testa sina autentiseringsprocesser och åtgärda eventuella beroenden innan reglerna börjar tillämpas.
IT-administratörer kan granska webbläsarens utvecklarkonsol under inloggningen för att identifiera potentiella problem. CSP-överträdelser visas som röda felmeddelanden med information om de skript som policyn blockerar.
Dessa kontroller kan därför hjälpa team att identifiera berörda verktyg och anpassa sina arbetsflöden innan förändringen träder i kraft.
Standardinloggningar fortsätter att fungera
Microsoft uppger att användare fortfarande kommer att kunna logga in om verktyg för skriptinjektion som inte stöds slutar fungera. Funktioner som är beroende av dessa verktyg kanske dock inte längre fungerar.
Förändringen av Entra ID-säkerheten träder i kraft automatiskt genom en tjänsteuppdatering. Därför behöver administratörer inte konfigurera sina klientorganisationer för att aktivera den.
Microsoft uppger också att Microsoft Authentication Library, eller MSAL, och API-baserade autentiseringsflöden inte påverkas. Reglerna gäller specifikt webbläsarbaserade inloggningsupplevelser som använder login.microsoftonline.com.
Uppdateringen utökar Microsofts säkerhetsinitiativ
Utrullningen är en del av Microsofts Secure Future Initiative, som syftar till att stärka skyddet i företagets produkter och tjänster.
Microsoft lanserade initiativet efter att kinesiska hackare fick åtkomst till Exchange Online-postlådor som tillhörde organisationer och individer under 2023.
Separat har företaget inaktiverat ActiveX-kontroller som standard i Windows-versioner av Microsoft 365 och Office 2024. Det har också skärpt standardinställningarna i Microsoft 365 för att begränsa filåtkomst via äldre autentiseringsprotokoll.
0 svar till ”Entra ID-säkerhetsuppdatering blockerar externa inloggningsskript i oktober”