Microsoft vil begynne å blokkere uautoriserte eksterne skript på Entra IDs nettleserbaserte påloggingssider i midten av oktober 2026. Oppdateringen av Entra ID-sikkerheten har som mål å redusere risikoen for skriptinjeksjon under autentisering, inkludert cross-site scripting-angrep.
Utrullingen skal etter planen være ferdig innen slutten av oktober. I mellomtiden bør organisasjoner kontrollere om påloggingsprosessene deres er avhengige av verktøy som injiserer skript på disse sidene.
Ny policy begrenser skript under pålogging
Microsoft vil håndheve en strengere Content Security Policy, eller CSP, for nettleserbasert autentisering gjennom login.microsoftonline.com. Under denne policyen vil påloggingssidene bare tillate skript fra betrodde Microsoft-domener for innholdslevering.
Denne begrensningen bidrar til å forhindre at uautorisert kode kjører under autentisering. Angripere kan for eksempel bruke cross-site scripting til å injisere skadelig kode på sårbare sider og forsøke å stjele påloggingsinformasjon.
Microsoft kunngjorde først planene for disse beskyttelsene i november 2025. Selskapet har nå minnet kundene på å forberede seg før håndhevingen begynner.
Bedrifter bør gjennomgå utvidelser og påloggingsverktøy
Før utrullingen anbefaler Microsoft organisasjoner å slutte å bruke nettleserutvidelser og verktøy som injiserer skript på påloggingssider.
Selv om disse verktøyene kan støtte eksisterende arbeidsflyter, kan den nye policyen hindre den injiserte koden deres i å kjøre. Derfor bør bedrifter teste autentiseringsprosessene sine og håndtere eventuelle avhengigheter før håndhevingen starter.
IT-administratorer kan inspisere nettleserens utviklerkonsoll under pålogging for å identifisere potensielle problemer. CSP-brudd vises som røde feilmeldinger med detaljer om skriptene som policyen blokkerer.
Disse kontrollene kan derfor hjelpe team med å identifisere berørte verktøy og justere arbeidsflytene sine før endringen trer i kraft.
Standardpålogginger vil fortsette å fungere
Microsoft sier at brukere fortsatt vil kunne logge inn dersom verktøy for skriptinjeksjon som ikke støttes, slutter å fungere. Funksjoner som er avhengige av disse verktøyene, kan imidlertid slutte å fungere.
Endringen i Entra ID-sikkerheten trer automatisk i kraft gjennom en tjenesteoppdatering. Administratorer trenger derfor ikke å konfigurere tenantene sine for å aktivere den.
Microsoft sier også at Microsoft Authentication Library, eller MSAL, og API-baserte autentiseringsflyter ikke påvirkes. Håndhevingen gjelder spesifikt nettleserbaserte påloggingsopplevelser som bruker login.microsoftonline.com.
Oppdateringen utvider Microsofts sikkerhetsinitiativ
Utrullingen er en del av Microsofts Secure Future Initiative, som har som mål å styrke beskyttelsen på tvers av selskapets produkter og tjenester.
Microsoft lanserte initiativet etter at kinesiske hackere fikk tilgang til Exchange Online-postbokser som tilhørte organisasjoner og enkeltpersoner i 2023.
Separat har selskapet deaktivert ActiveX-kontroller som standard i Windows-versjoner av Microsoft 365 og Office 2024. Det har også strammet inn standardinnstillingene i Microsoft 365 for å begrense filtilgang gjennom eldre autentiseringsprotokoller.
0 responses to “Entra ID-sikkerhetsoppdatering vil blokkere eksterne påloggingsskript i oktober”