CoSnitch (CVE-2026-24301): Ein Link, ein Prompt und ein Gedächtnis, das die erneute Registrierung überlebte

Microsoft hat am 18. August 2026 eine dreiteilige Schwachstellenkette in Copilot Personal behoben, durch die sich mit einem einzigen präparierten Link der Prompt eines Angreifers innerhalb einer authentifizierten Sitzung eines Opfers ausführen und das Gefundene anschließend über Copilots eigenen Netzwerkzugriff wieder nach außen leiten ließ. Varonis Threat Labs, die die Probleme im Dezember 2025 an Microsoft meldeten und ihre Analyse am Tag, an dem der Fix ausgeliefert wurde, veröffentlichten, nannten die Untersuchung CoSnitch. Microsoft führt sie unter CVE-2026-24301, „Microsoft Copilot Information Disclosure Vulnerability“, und ordnet sie unter CWE-77 als Command-Injection-Schwachstelle ein, die es einem nicht autorisierten Angreifer ermöglicht, Informationen über ein Netzwerk preiszugeben. Die Kette erreichte Gmail- und Outlook-Nachrichteninhalte, Google-Kalender-Einträge, Google-Drive-Dateinamen, den Copilot-Chatverlauf und den Copilot-Speicher – allesamt Daten, die der Nutzer Copilot bereits zum Lesen freigegeben hatte. Eine dritte Stufe schrieb Anweisungen in Copilots persistenten Speicher, die laut Varonis Passwortänderungen, den Widerruf von Sitzungen und die erneute Geräteregistrierung überstanden. Weder Varonis noch Microsofts eigener Eintrag verzeichnen eine Ausnutzung in freier Wildbahn.Der vollständige Eintrag mit seiner Vertrauensstufe und den zitierten Quellen befindet sich im Orca AI Incident Archive, zusammen mit den benachbarten Einträgen in der Sammlung.

Wie aus einem Link eine sitzungsweite Abfrage wurde

Der Auslöser war ein Query-String. Copilot Personal akzeptiert einen Parameter q, der das Chat-Feld mit Text vorab befüllt, der über einen Link bereitgestellt wird, sodass der Benutzer nur noch die Eingabetaste drücken muss – eine Funktion, die es ermöglicht, dass ein Lesezeichen oder eine externe Seite dem Assistenten eine Eingabeaufforderung zur Überprüfung übergibt. Varonis entdeckte einen zweiten, undokumentierten Parameter, autorun=1, der den Überprüfungsschritt entfernte. Eine URL der Form copilot.microsoft.com/?q=, gefolgt von der Eingabeaufforderung des Angreifers und autorun=1, führte diese Eingabeaufforderung beim Laden der Seite aus, und die Forscher berichten, dass der Lauf auch dann abgeschlossen wird, wenn der Tab unmittelbar danach geschlossen wird. Die Eingabeaufforderung wird im Sitzungskontext, mit den Connectors und dem Gedächtnis des Opfers ausgeführt, weshalb die Kette auf Daten zugreifen konnte, für die der Angreifer nie Zugangsdaten besaß.

Stufe zwei ist die Exfiltration. Der injizierte Prompt fragte verbundene Apps ab, verknüpfte die Ergebnisse optional, kodierte sie mit Base64 in einen URL-sicheren String und wies Copilot an, eine von Angreifern kontrollierte Adresse abzurufen. Copilots eigene URL-Abruf- und Zusammenfassungsfunktion stellte die Anfrage, sodass der ausgehende Datenverkehr wie routinemäßiges Surfen wirkte. Varonis’ Beispiel nutzte einen Pipedream-Webhook-Host als Sammelpunkt, wobei die Nutzlast im URL-Pfad lag. Die Datenklassen, die die Forscher auflisten, sind konkret: vollständige Nachrichtentexte, Betreffzeilen sowie Absender- und Empfängermetadaten aus E-Mails, einschließlich Klartextpasswörtern, internen Systempasswörtern und Reset-Links; Kalendertitel, Teilnehmer, Zeiten und Orte; Drive-Dateinamen und Metadatenzusammenfassungen; frühere Chatverläufe; und die gespeicherten Anweisungen im Copilot-Speicher. Laut Varonis erschwert die Base64-Kodierung außerdem ausgehende Anfragen für Filter, die nach sensiblen Mustern suchen.

Phase drei ist diejenige, die die Sitzung überdauert. Eine Seite, die Copilot zusammenfasst, kann Anweisungen enthalten, die in weißem Text von einem Pixel Größe, HTML-Kommentaren, per CSS verborgenen Absätzen oder Metadaten versteckt sind, und Varonis berichtet, dass Copilot diese Zeichenfolgen als Direktiven statt als Inhalt behandelt hat. In einer Demonstration behauptete der injizierte Speicher, eine CVE sei harmlos, damit Copilot die Warnung später unterdrücken würde; derselbe Mechanismus könnte genutzt werden, um Ergebnisse zu filtern, Antworten zu verzerren oder Aktionen unter einer Bedingung auszulösen. Speichereinträge haben keine Ablaufzeit und werden beim Abmelden nicht zurückgesetzt; sie liegen in einem Speicher auf Benutzerebene und nicht in der Sitzung. Laut den Forschern besteht die einzige Möglichkeit, einen Eintrag zu löschen, in den Speichereinstellungen von Copilot, von deren Existenz die meisten Nutzer nichts wissen.

Der Parameter, den Copilot selbst benannt hat

Varonis nennt die Entdeckungsmethode Meta-Hacking: „Social Engineering der Reasoning-Engine selbst“, in der Formulierung des Blogs, oder „man exploitet das Modell nicht, man manipuliert es zur Kooperation“. Die Forscher begannen damit, Copilot zu fragen, wie ein Prompt dazu gebracht werden könnte, ohne Nutzerinteraktion ausgeführt zu werden. Copilot antwortete, dass eine Nutzerabsicht erforderlich sei und Prompts nicht von selbst ausgelöst würden. Jede Ablehnung enthielt jedoch technische Details darüber, wie Prompts gehandhabt wurden, und die Forscher formulierten die nächste Frage als gewöhnliche Nachfrage zu URL-Struktur, Deep Links und Seiten um, die mit bereits vorausgefüllter Eingabe laden. Laut dem Blog gab Copilot daraufhin den nicht dokumentierten Parameter unaufgefordert, mitten in einer Ablehnung, zusammen mit seinem bisherigen Verhalten und den Schutzmaßnahmen preis, die hinzugefügt worden waren, um ihn zu deaktivieren. Die Forscher erstellten die URL wie beschrieben, und der Prompt lief.

Die Schilderung des Gesprächs stammt ausschließlich von Varonis. Im Blog heißt es, die konkreten Meta-Hacking-Fragen würden nicht wörtlich wiedergegeben, und Microsofts öffentliche Stellungnahme zu der Schwachstelle, die Dark Reading zitiert, geht auf die Technik überhaupt nicht ein. Lior Adar, der leitende Forscher bei Varonis, der die Analyse verfasst hat, sagte gegenüber Dark Reading, Copilot habe „uns die Schlüssel in die Hand gegeben“, und das Meta-Hacking-Element sei der Teil der Forschung, von dem er erwarte, dass er weiterhin von Bedeutung bleibe. Die Zusammenfassung im Blog ist unverblümter: „Copilot wurde nicht kompromittiert; mit ihm wurde gespielt.“

Was Microsoft behoben hat – und was seine Einträge verraten

Der Eintrag im Security Update Guide von Microsoft für CVE-2026-24301 wurde am 18. August 2026 im Release 2026-Aug veröffentlicht und zuletzt am 25. August 2026 überarbeitet. Darin wird das Problem als Critical mit einem CVSS-3.1-Basisscore von 8.8 und einem Temporal Score von 7.7 eingestuft; der Vektor lautet AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Das Archiv führt diesen Datensatz als hohe Schweregrad ein, was dem Bereich entspricht, in den ein Basisscore von 8.8 unter CVSS 3.1 fällt — Microsofts Schweregradkennzeichnung im selben Eintrag lautet Critical. Zwei Felder sind wichtiger als die Zahl: Microsoft verzeichnet das Problem als vor dem Patch nicht öffentlich offengelegt und als nicht ausgenutzt.

Der Eintrag enthält keinen Patch, den irgendjemand installieren könnte, und Microsofts FAQ sagt das direkt: „Diese Sicherheitslücke wurde von Microsoft bereits vollständig entschärft. Für Nutzer dieses Dienstes gibt es keine Maßnahmen zu ergreifen. Der Zweck dieser CVE besteht darin, weitere Transparenz zu schaffen.“ Die Erklärung, die Microsoft Dark Reading am Tag der Veröffentlichung gab, besagt dasselbe – „Unsere Kunden sind bereits geschützt und müssen keine Maßnahmen ergreifen“ – und fügt hinzu: „Wir aktualisieren unsere Schutzmechanismen fortlaufend, um unseren Schutz gegen ähnliche Techniken zu stärken.“ Varonis würdigt Microsofts Zusammenarbeit bei der Behebung und stellt den Zeitpunkt nicht in Frage.

Auf die Länge des Zeitfensters hat sich der Großteil der Berichterstattung konzentriert: im Dezember 2025 gemeldet, am 18. August 2026 gepatcht, was die Forschungsnotiz der Cloud Security Alliance vom 20. August 2026 mit etwa acht Monaten beziffert. Während dieses Zeitfensters steckte die Schwachstelle in einem Consumer-Produkt, das jeder über einen Browser-Link erreicht.

Etabliert, zugeschrieben und nicht beansprucht

• Festgestellt: Es existiert eine CVE, datiert auf den 18. August 2026, mit einem Basiswert von 8,8, die von Microsoft als weder vor dem Patch offengelegt noch ausgenutzt verzeichnet ist.

• {{1}}Vom Sprecher von Microsoft bestätigt, nicht unabhängig geprüft{{/1}}: Das Problem beschränkte sich auf Copilot Personal, Unternehmenskunden sind nicht betroffen.

• Varonis zugeschrieben und wiederholt, nicht reproduziert: die Mechanik der Kette – der Autorun-Parameter, die Webhook-Exfiltration, die Demonstration der Speichervergiftung. The Hacker News, Dark Reading und die Cloud Security Alliance beschreiben sie; keine dieser Publikationen hat eine eigene Reproduktion veröffentlicht.

• Varonis zugeschrieben, {{1}}aus einer einzigen Quelle{{/1}}: das Meta-Hacking-Gespräch und was Copilot darin offenlegte. Es wurde kein Transkript veröffentlicht.

• Von niemandem angegeben: Opfer, Kampagnen oder eine Nutzung in freier Wildbahn. Varonis gibt an, keine Hinweise auf eine Ausnutzung gesehen zu haben, und Microsoft führt „Ausgenutzt“ als „Nein“.

• Nicht offengelegt: ob die Korrektur vor ihr geschriebene Speichereinträge gelöscht hat. The Hacker News merkt an, dass die Offenlegung dazu nichts sagt.

Persönliches Produkt, Unternehmensdaten

Microsofts Abgrenzung ist soweit korrekt, wie sie reicht: Die Schwachstelle lag im Verbraucher-Assistenten, nicht in Microsoft 365 Copilot. Adars Argument ist, dass die Grenze weniger leistet, als es den Anschein hat. „Die konkreten Schwachstellen, die wir gefunden haben, befinden sich in der Personal-Version, das ist korrekt. Aber die Person, die Copilot Personal nutzt, ist dieselbe Person, die am Montagmorgen in Ihr Büro kommt“, sagte er gegenüber Dark Reading. „Sie könnte Firmen-E-Mails an ein privates Gmail weiterleiten lassen, Zugangsdaten über private Konten teilen, Arbeitsdokumente in einem privaten Drive haben. Wenn CoSnitch also aus einem privaten Posteingang exfiltriert, sind die Daten, die es abzieht, oft Unternehmensdaten. Ein gestohlenes Passwort aus einem privaten Konto wird zu einem Einstiegspunkt in Ihren Unternehmens-Tenant.“ Das ist eine Einschätzung zum Ausmaß der Auswirkungen und keine Aussage über den Umfang der Schwachstelle, und Microsoft hat darauf nicht reagiert.

Was den Verteidigern gesagt wurde, was sie tun sollen

Es gab kein Client-Update, weil es am Client nichts zu aktualisieren gab. Varonis' Leitfaden betrifft eher die Autorisierung als das Patchen: Überprüfen Sie die mit einem Assistenten verbundenen Apps und trennen Sie diejenigen, die dort nicht sein müssen; behandeln Sie Copilot als privilegierten Insider mit Zugriff auf alles, was es erreichen kann, und behandeln Sie einen unaufgefordert eingehenden Link, der einen KI-Assistenten öffnet, als Angriffsfläche statt als Komfort. „Prüfen Sie Connectors, minimieren Sie den Zugriff und gehen Sie davon aus, dass die Vertrauensgrenze zwischen legitimen und injizierten Prompts durchbrochen wird“, sagte Adar gegenüber Dark Reading.

Microsofts eigene schriftliche Position zur breiteren Klasse der Memory-Poisoning-Angriffe stammt aus der Zeit vor dem CoSnitch-Fix. Laut The Hacker News beschreibt ein Security-Blogbeitrag von Microsoft vom 22. Juni 2026, der sich auf Microsoft 365 und nicht auf das Consumer-Produkt bezieht, Bereinigungs- und Prompt-Injection-Prüfungen bei Speicherschreibvorgängen, Task-Adherence-Prüfungen bei jedem expliziten Schreibvorgang sowie ein MemoryUpdated-Auditfeld, das in Defender Advanced Hunting und Sentinel angezeigt wird – und nennt MSRC-Fälle von Johann Rehberger, Håkon Måløy und Gal Zror.

Wo die Kette sitzt

Der Eintrag vermerkt, dass CoSnitch mit CVE-2026-24299 kombiniert werden kann, der Kennung, die Microsoft der Memory-Poisoning-Forschung von Johann Rehberger zugewiesen hat, die er auf der DEF CON Singapore als Copirate 365 vorstellte. Rehbergers Write-up, veröffentlicht am 4. Mai 2026, behandelt Speicherschreib- und -löschvorgänge, die durch indirekte Prompt-Injection in Microsoft 365 Copilot und Consumer Copilot erreicht werden, sowie einen HTML-Vorschau-Exfiltrationskanal, der das Laden von Schriftarten und Hintergrundbildern missbraucht. Microsofts Eintrag für CVE-2026-24299 ist auf den 19. März 2026 datiert und trägt einen CVSS-3.1-Basisscore von 5.3, wobei „Exploited“ mit „No“ angegeben ist.

Die Cloud Security Alliance zählt CoSnitch als vierte Ein-Klick- oder Zero-Click-Copilot-Exfiltrationskette, die seit Juni 2025 offengelegt wurde, nach EchoLeak (CVE-2025-32711), Reprompt und SearchLeak (CVE-2026-42824). Diese Zählung stammt von der CSA, nicht vom Archiv, und sie ist das stärkste Argument in den öffentlichen Aufzeichnungen, dass es sich um ein wiederkehrendes Muster handelt und nicht um einen einzelnen fehlerhaften Parameter: ein Assistent mit dauerhaftem Zugriff auf E-Mails, Dateien und einen Memory-Speicher, der über einen Link erreicht wird, den jemand zu öffnen überredet wurde.

Die Teile von CoSnitch, die ein Leser ohne einen Microsoft-Tenant überprüfen kann, sind begrenzt — eine CVE, ein Score, ein Fixdatum und zwei Statusfelder, die beide Nein sagen. Die Teile, die es zu einem Meilenstein machen, sind die Teile, die derzeit auf dem Bericht eines Labors über ein Gespräch mit einem Chatbot beruhen: dass ein Assistent im Produktivbetrieb seinen eigenen undokumentierten Auslöser nannte, als er erklären sollte, warum der Angriff unmöglich war.