Microsoft vil begynde at blokere uautoriserede eksterne scripts på Entra ID’s browserbaserede login-sider i midten af oktober 2026. Opdateringen af Entra ID-sikkerheden har til formål at reducere risikoen for script-injektion under godkendelse, herunder cross-site scripting-angreb.
Udrulningen bør være afsluttet inden udgangen af oktober. I mellemtiden bør organisationer kontrollere, om deres login-processer er afhængige af værktøjer, der injicerer scripts på disse sider.
Ny politik begrænser scripts under login
Microsoft vil håndhæve en strengere Content Security Policy, eller CSP, for browserbaseret godkendelse via login.microsoftonline.com. Under denne politik vil login-sider kun tillade scripts fra betroede Microsoft-domæner til levering af indhold.
Denne begrænsning hjælper med at forhindre uautoriseret kode i at køre under godkendelse. Angribere kan eksempelvis bruge cross-site scripting til at injicere ondsindet kode på sårbare sider og forsøge at stjæle loginoplysninger.
Microsoft annoncerede første gang planerne for disse beskyttelser i november 2025. Virksomheden har nu mindet kunderne om at forberede sig, inden håndhævelsen begynder.
Virksomheder bør gennemgå udvidelser og login-værktøjer
Inden udrulningen anbefaler Microsoft organisationer at stoppe med at bruge browserudvidelser og værktøjer, der injicerer scripts på login-sider.
Selvom disse værktøjer kan understøtte eksisterende arbejdsgange, kan den nye politik forhindre deres injicerede kode i at køre. Derfor bør virksomheder teste deres godkendelsesprocesser og håndtere eventuelle afhængigheder, inden håndhævelsen begynder.
IT-administratorer kan inspicere browserens udviklerkonsol under login for at identificere potentielle problemer. CSP-overtrædelser vises som røde fejlmeddelelser med oplysninger om de scripts, som politikken blokerer.
Disse kontroller kan derfor hjælpe teams med at identificere berørte værktøjer og tilpasse deres arbejdsgange, inden ændringen træder i kraft.
Standardlogin vil fortsat fungere
Microsoft siger, at brugere fortsat vil kunne logge ind, hvis ikke-understøttede værktøjer til script-injektion holder op med at fungere. Funktioner, der er afhængige af disse værktøjer, fungerer muligvis ikke længere.
Ændringen af Entra ID-sikkerheden træder automatisk i kraft gennem en tjenesteopdatering. Derfor behøver administratorer ikke at konfigurere deres tenants for at aktivere den.
Microsoft siger også, at Microsoft Authentication Library, eller MSAL, og API-baserede godkendelsesflows ikke påvirkes. Håndhævelsen gælder specifikt browserbaserede login-oplevelser, der bruger login.microsoftonline.com.
Opdateringen udvider Microsofts sikkerhedsinitiativ
Udrulningen er en del af Microsofts Secure Future Initiative, som har til formål at styrke beskyttelsen på tværs af virksomhedens produkter og tjenester.
Microsoft lancerede initiativet, efter at kinesiske hackere fik adgang til Exchange Online-postkasser tilhørende organisationer og enkeltpersoner i 2023.
Separat har virksomheden deaktiveret ActiveX-objekter som standard i Windows-versioner af Microsoft 365 og Office 2024. Den har også strammet standardindstillingerne i Microsoft 365 for at begrænse filadgang gennem ældre godkendelsesprotokoller.
0 svar til “Entra ID-sikkerhedsopdatering vil blokere eksterne login-scripts i oktober”