Authentifizierungsfehler in Azure AI Foundry erhält CVSS-Bewertung mit maximalem Schweregrad

Microsoft hat einen kritischen Authentifizierungsfehler in Azure AI Foundry behoben, durch den ein nicht authentifizierter Angreifer aus der Ferne erweiterte Berechtigungen erlangen konnte. Die Cloud-Schwachstelle CVE-2026-85889 erreicht einen maximalen CVSS-v3.1-Basiswert von 10,0.

Nach Angaben des Unternehmens wurde die Schwachstelle im gehosteten Dienst bereits entschärft. Kunden müssen weder ein Update installieren noch Konfigurationen ändern oder einen Workaround anwenden.

Microsoft hat außerdem eine kritische Command-Injection-Schwachstelle in Microsoft 365 Copilot offengelegt. Zwei weitere Cloud-Schwachstellen zur Rechteausweitung wurden in Azure Database for PostgreSQL und Azure Cosmos DB gemeldet, während separate Windows-Schwachstellen die genauere Aufmerksamkeit von Administratoren erfordern.

Zum 18. September 2026 liegen Microsoft zufolge keine Hinweise auf eine Ausnutzung oder öffentlich verfügbaren Proof-of-Concept-Code für die Schwachstellen in Azure AI Foundry und Copilot vor.

Fehlende Authentifizierung legte kritische Foundry-Funktion offen

Azure AI Foundry, auch Microsoft Foundry genannt, ist eine Unternehmensplattform zum Entwickeln, Bereitstellen und Verwalten generativer KI-Anwendungen und -Agenten. CVE-2026-85889 war auf eine fehlende Authentifizierung für eine kritische Funktion innerhalb der Plattform zurückzuführen.

Der CVSS-Vektor der Schwachstelle lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C

Ein Angreifer konnte die anfällige Funktion über ein Netzwerk erreichen. Dafür waren nur geringe Angriffskomplexität, kein Benutzerkonto und keine Mitwirkung eines Benutzers erforderlich. Eine erfolgreiche Ausnutzung hätte erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben können.

Der Vektor weist außerdem einen „geänderten“ Scope aus. Das bedeutet, dass ein Angriff die ursprüngliche Sicherheitsgrenze der anfälligen Komponente hätte überschreiten und Ressourcen beeinträchtigen können, die einer anderen Sicherheitsinstanz unterstehen. Microsoft stuft die daraus resultierende Auswirkung als Rechteausweitung ein.

Der Wert 10,0 ist der Basiswert. Im Advisory von Microsoft wird außerdem ein zeitlicher Score von 8,7 angegeben. Dieser berücksichtigt die bislang nicht nachgewiesene Reife des Exploits, einen offiziellen Fix und bestätigte Meldungen. Eine CWE-Kennung hat Microsoft im veröffentlichten Datensatz nicht vergeben.

Der Sicherheitsforscher Rémy Marot, bekannt als @R_Marot, meldete die Schwachstelle. Laut dem Microsoft-Advisory zu CVE-2026-85889 wurde sie weder öffentlich bekannt gemacht noch ausgenutzt. Es ist kein öffentlicher Exploit-Code bekannt; Microsoft führt die Ausnutzbarkeitsbewertung als „N/A“.

Microsoft spielte den Fix ein – nicht die Kunden

Da Azure AI Foundry als cloudbasierter Dienst betrieben wird, erfolgte die Behebung nicht nach dem üblichen Modell des Patchens von Endgeräten. Microsoft änderte den Dienst selbst und veröffentlichte anschließend die CVE, um den Sicherheitsmangel zu dokumentieren.

Das Unternehmen bezeichnet CVE-2026-85889 als vollständig entschärft. Es gibt weder einen herunterladbaren Patch noch einen kundenseitigen Workaround oder eine Liste betroffener Versionen.

Dieser letzte Punkt erschwert die Analyse der externen Angriffsfläche. Unternehmen können keinen lokalen Foundry-Build mit anfälligen und behobenen Versionen vergleichen, da Microsoft solche Versionen nicht offengelegt hat. Sie können die CVE jedoch in internen Risikoregistern dokumentieren und sicherstellen, dass Sicherheits- oder Compliance-Teams keine unnötigen Notfallbereitstellungen für eine serverseitige Korrektur veranlassen.

Microsoft hat keine Hashes, Netzwerkindikatoren, Logmuster oder Exploit-Artefakte veröffentlicht, die mit der Schwachstelle in Verbindung stehen. Daher liegt auf Grundlage der veröffentlichten Informationen keine schwachstellenspezifische Hunting-Abfrage vor.

Derzeit gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn. Dass Kunden nicht tätig werden müssen, sollte nicht mit einer geringen Auswirkung der Schwachstelle verwechselt werden: Der maximale Basiswert spiegelt wider, was ein Angreifer vor der serverseitigen Entschärfung durch Microsoft hätte erreichen können.

Microsoft 365 Copilot wies einen separaten Command-Injection-Angriffsweg auf

Die zweite bedeutende Cloud-Meldung betrifft CVE-2026-85885, eine Command-Injection-Schwachstelle in Microsoft 365 Copilot. Microsoft stuft sie als kritisch ein. Der CVSS-v3.1-Basiswert beträgt 9,9, der zeitliche Score 8,6.

Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C

Anders als bei der Foundry-Schwachstelle muss ein Angreifer bereits über Berechtigungen mit niedrigem Rechteniveau verfügen. Der Angriff ist weiterhin über das Netzwerk möglich, weist eine geringe Komplexität auf und erfordert keine Interaktion eines anderen Benutzers.

Die Schwachstelle betrifft die fehlerhafte Verarbeitung spezieller Elemente, die in einem Befehl verwendet werden. Dadurch könnte ein Angreifer Befehlsinhalte einschleusen und seine Berechtigungen über den ursprünglich gewährten Zugriff hinaus erweitern. Microsoft nennt keine CWE-Kennung, ordnet die zugrunde liegende Schwachstellenklasse jedoch als Command Injection ein.

Der nahezu maximale Score ergibt sich aus dem geänderten Scope sowie den erheblichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein lediglich als Alex identifizierter Forscher wurde als Entdecker der Schwachstelle genannt.

Microsoft zufolge wurde die Copilot-Schwachstelle weder öffentlich bekannt gemacht noch ausgenutzt; öffentlicher Exploit-Code wurde ebenfalls nicht gemeldet. Die Schwachstelle wurde vollständig in der Cloud behoben, sodass Kunden weder ein Update noch einen Workaround anwenden müssen.

Schwachstellen in PostgreSQL und Cosmos DB erweitern die Cloud-Meldungen

Separate Meldungen identifizieren zwei weitere Schwachstellen zur Rechteausweitung in verwalteten Cloud-Produkten von Microsoft:

• CVE-2026-85878 betrifft Azure Database for PostgreSQL. Es handelt sich um ein Problem bei der fehlerhaften Autorisierung mit einem CVSS-Wert von 9,9. Ein Angreifer mit geringen Berechtigungen könnte ohne Benutzerinteraktion aus der Ferne versuchen, seine Rechte auszuweiten.
• CVE-2026-87701 betrifft Azure Cosmos DB. Die Schwachstelle zur fehlerhaften Neutralisierung weist einen CVSS-Wert von 9,6 auf und könnte es einem autorisierten Netzwerkangreifer ermöglichen, seine Berechtigungen auszuweiten.

Die jeweiligen Vektoren lauten:

• CVE-2026-85878: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
• CVE-2026-87701: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Die Schwachstelle in Cosmos DB unterscheidet sich dadurch, dass ihr Vektor keine Auswirkungen auf die Verfügbarkeit ausweist. Die Auswirkungen auf Vertraulichkeit und Integrität bleiben hingegen erheblich.

Microsoft soll beide Schwachstellen innerhalb der Cloud-Dienste entschärft haben; Kunden müssen demnach nicht tätig werden. Die entsprechenden Datensätze des Microsoft Security Response Center waren jedoch nicht verfügbar, sodass kein unabhängiger Vergleich möglich ist. Genaue betroffene Dienstversionen, technische Abläufe zur Ausnutzung, der Status einer öffentlichen Bekanntgabe und Angaben zu den meldenden Forschern sind nicht bekannt.

Windows-Schwachstellen erfordern Versions- und Update-Prüfungen

Die Cloud-Fixes werden automatisch eingespielt, doch zwei Schwachstellen zur Rechteausweitung in Windows haben andere betriebliche Auswirkungen.

CVE-2026-62721 betrifft den Windows User-Mode Power Service und kann es einem autorisierten lokalen Angreifer ermöglichen, erweiterte Berechtigungen bis hin zu SYSTEM zu erlangen. Die Schwachstelle hat einen CVSS-Wert von 7,8:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Die Schwachstelle ist als CWE-1220 klassifiziert: unzureichende Granularität der Zugriffskontrolle. Zu den im NVD aufgeführten betroffenen Versionen gehören:

Produkt	Betroffene Versionen
Windows 10 1607	Unter 10.0.14393.9418
Windows 10 1809	Unter 10.0.17763.9115
Windows 10 21H2	Unter 10.0.19044.7663
Windows 10 22H2	Unter 10.0.19045.7663
Windows 11 23H2	Unter 10.0.22631.7517
Windows 11 24H2	Unter 10.0.26100.9106
Windows 11 25H2	Unter 10.0.26200.9106
Windows 11 26H1	Unter 10.0.28000.2704
Windows Server 2016	Unter 10.0.14393.9418
Windows Server 2019	Unter 10.0.17763.9115
Windows Server 2022	Unter 10.0.20348.5440

Windows Server 2012 wird ebenfalls als betroffen aufgeführt, allerdings ist kein Versionsgrenzwert verfügbar.

Bei der zweiten Schwachstelle, CVE-2026-85921, handelt es sich um eine Double-Free-Schwachstelle im Windows Secure Kernel Mode. Sie könnte es einem lokal agierenden Angreifer mit hohen Berechtigungen ermöglichen, Berechtigungen auf Virtual Trust Level 1 beziehungsweise VTL1 zu erlangen.

CVE-2026-85921 ist als CWE-415 klassifiziert und hat einen CVSS-Wert von 8,2:

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Eine Liste der betroffenen Produkte und Versionen wurde für diese CVE nicht veröffentlicht. Beide Windows-Schwachstellen sollen für Windows 11 26H1 durch das außerhalb des regulären Zyklus veröffentlichte kumulative Update KB5129194 für arm64- und x64-Systeme behoben worden sein. Dadurch ergibt sich der Build 28000.2956.

Was Verteidiger jetzt tun sollten

Kunden von Azure AI Foundry, Microsoft 365 Copilot, Azure Database for PostgreSQL und Azure Cosmos DB müssen für diese Meldungen keine Fixes bereitstellen. Microsoft hat die gemeldeten Cloud-Schwachstellen selbst behoben.

Windows-Administratoren sollten konkrete Maßnahmen ergreifen:

1. KB5129194 auf betroffenen Windows-11-26H1-Systemen mit arm64 und x64 bereitstellen.
2. Überprüfen, ob die Installationen den Build 28000.2956 erreichen.
3. Die Builds von Windows 10, Windows 11 und Windows Server mit den veröffentlichten Grenzwerten für CVE-2026-62721 vergleichen.
4. Aktivitäten zur lokalen Rechteausweitung überwachen, bei denen versucht wird, Zugriff auf SYSTEM oder VTL1 zu erlangen.

Für keine der beiden Windows-Schwachstellen sind spezifische Exploit-Beispiele, Datei-Hashes oder Netzwerkindikatoren verfügbar.

Der Status im CISA-Katalog Known Exploited Vulnerabilities und die Fristen für die Behebung lassen sich für CVE-2026-85889, CVE-2026-85885, CVE-2026-85878, CVE-2026-87701, CVE-2026-62721 und CVE-2026-85921 nicht bestätigen. Allerdings wurden in jüngster Zeit mehrere andere Microsoft-Schwachstellen in den KEV-Katalog aufgenommen: CVE-2026-85880 und CVE-2026-81963 am 8. September 2026, CVE-2019-1068 am 26. August 2026, CVE-2026-55040 und CVE-2026-33824 am 18. August 2026 sowie CVE-2026-68820 am 11. August 2026.

Für die hier behandelten Schwachstellen sprechen die verfügbaren Informationen dafür, der Überprüfung von Windows-Builds Priorität einzuräumen und die bereits von Microsoft behobenen Cloud-Dienst-Schwachstellen zu dokumentieren, statt zu versuchen, sie zu patchen.