Azure AI Foundry benötigte keine Anmeldedaten für die Rechteausweitung – CVE-2026-85889, CVSS 10.0

Microsoft gab am 17. September 2026 bekannt, dass Azure AI Foundry – die Unternehmensplattform zum Erstellen, Bereitstellen und Verwalten von Generative-KI-Anwendungen und -Agenten, die auch als Microsoft Foundry vermarktet wird – eine Schwachstelle wegen fehlender Authentifizierung aufwies, die mit CVSS 10.0, dem Höchstwert, bewertet wurde. Sie wird als CVE-2026-85889 geführt und ist als CWE-306 – fehlende Authentifizierung für eine kritische Funktion – eingestuft; laut der Microsoft-Sicherheitsempfehlung ermöglichte sie einem nicht autorisierten Angreifer, über das Netzwerk auf eine Backend-Funktion zuzugreifen und ohne Anmeldedaten und ohne Benutzerinteraktion Rechte zu eskalieren. Die Plattform wird in der Cloud gehostet, daher erfolgte die Behebung auf Microsofts eigener Infrastruktur, und für Kunden war nichts zu installieren; Microsoft erklärt, keine Hinweise darauf gefunden zu haben, dass die Schwachstelle jemals ausgenutzt wurde, und es ist kein Schaden dafür verzeichnet. Dieser Vorfall ist ein Eintrag in dem Orca AI Incident Archive, das den vollständigen Datensatz mit den zitierten Quellen, der Schweregradbewertung, der Konfidenzbewertung und der Kennzeichnung als umstritten enthält.

Was die Warnung tatsächlich aussagt

Der Microsoft Security Response Center-Sicherheitshinweis ist kurz, und nahezu alle veröffentlichten Details zu dieser Schwachstelle stammen daraus. Seine Beschreibung lautet vollständig: „Fehlende Authentifizierung für eine kritische Funktion in Azure AI Foundry ermöglicht es einem nicht autorisierten Angreifer, Privilegien über ein Netzwerk zu erhöhen.“ Es gibt keine betroffenen Versionen, weil es keine Versionen gibt: Im MSRC-Datensatz für CVE-2026-85889 ist die neueste Softwareversion als N/A aufgeführt, und er enthält keine Update-Links oder Downloadmöglichkeit – das ist die übliche Form eines Sicherheitshinweises für einen Dienst, den Microsoft selbst betreibt.

MSRC bewertet die Schwachstelle als Kritisch mit einem Basiswert von 10,0 auf dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – über das Netzwerk erreichbar, geringe Angriffskomplexität, keine Berechtigungen erforderlich, keine Benutzerinteraktion, Geltungsbereich geändert und hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Der NVD-Eintrag, veröffentlicht am 17. September 2026 und zuletzt geändert am 25. September, enthält dieselbe Beschreibung und ordnet die Schwachstelle CWE-306 zu. In den Feldern „Ausgenutzt“ und „Öffentlich offengelegt“ verzeichnet Microsoft jeweils „Nein“.

Die Schwachstelle wurde entdeckt von Rémy Marot, gewürdigt in The Hacker News’ Bericht über die Offenlegung und in der Forschungsnotiz der Cloud Security Alliance als jemand genannt, der sie verantwortungsvoll gemeldet hat. Diese am 19. September 2026 veröffentlichte Notiz ist die einzige Quelle in der Dokumentation, die untersucht, was der Sicherheitshinweis auslässt, und sie behandelt die Lücke als die eigentliche Geschichte.

10,0 und 9,8 — die eine Kennzahl, bei der die beiden Wertungsrichter nicht übereinstimmen

Die Schlagzeilenzahl ist nicht einstimmig. NVD zeigt zwei CVSS-3.1-Scores für CVE-2026-85889 von zwei verschiedenen Scorern, und sie unterscheiden sich in genau einer Metrik. Microsofts Score, als Sekundärquelle eingetragen, ist 10,0 auf AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. NVDs eigener Primärscore ist 9,8 auf AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Alle Komponenten sind identisch außer Scope.

Microsoft bewertet Scope als Changed; die primäre Bewertung von NVD belässt ihn auf Unchanged. Das ist der gesamte Unterschied, und es ist keine Pedanterie. In CVSS 3.1 bedeutet ein Scope von Changed, dass die verwundbare Komponente und die betroffene Komponente unterschiedliche Sicherheitsautoritäten sind – dass der Standpunkt des Angreifers und das, was er letztlich kontrolliert, auf gegenüberliegenden Seiten einer Grenze liegen. Eine 10.0 ist die Behauptung, dass das Überschreiten dieser Grenze der Zweck der Schwachstelle ist. Die 9.8 von NVD trifft dieselbe Aussage über Auswirkung, Vertraulichkeit, Integrität und Verfügbarkeit, alle High, ohne die Grenzüberschreitung zu behaupten. Beide Bewertungen sind Critical. Das Archiv behandelt die Lücke nicht als Streit darüber, ob die Schwachstelle existierte oder behoben wurde, und ein Leser sollte das ebenfalls nicht tun.

Ein dritter Gutachter ging bei den Folgen weiter, ohne die Bewertung anzutasten. CISAs SSVC-Entscheidungsprotokoll für die CVE, mit Zeitstempel vom 18. September 2026, legt die Ausnutzung auf „none“, die Automatisierbarkeit auf „yes“ und die technische Auswirkung auf „total“ fest. Der mittlere Wert ist derjenige, bei dem man innehalten sollte: Eine nicht authentifizierte Schwachstelle mit geringer Komplexität, die den Geltungsbereich ändert, ist konstruktionsbedingt automatisierbar – nichts daran erfordert einen Menschen, der sie für jedes Ziel anpassen müsste.

Der Fix, den kein Kunde installieren konnte

Azure AI Foundry ist ein gehosteter Dienst, daher gab es für CVE-2026-85889 nie einen Patch, der den Namen eines Kunden trug. Die MSRC-Mitteilung enthält weder einen Update-Artikel noch eine Problemumgehung und beantwortet die naheliegende Frage in ihren eigenen FAQ: „Diese Sicherheitslücke wurde von Microsoft bereits vollständig entschärft. Für Nutzer dieses Dienstes besteht kein Handlungsbedarf. Der Zweck dieses CVE besteht darin, für weitere Transparenz zu sorgen.“

Der Hinweis der Cloud Security Alliance beschreibt dieselbe Handhabung: Die Behebung wurde auf Microsofts Infrastruktur angewendet, und „Kunden mussten keinen Patch installieren und keine Maßnahmen ergreifen“. The Hacker News berichtet, Microsoft habe erklärt, das Cloud-Problem vollständig abgemildert zu haben, und es sei keine Kundenaktion erforderlich gewesen. Microsofts eigener Datensatz markiert „customer action required“ als falsch. Zur zeitlichen Einordnung datiert MSRC seine Sicherheitsmitteilung auf den 17. September 2026; die CSA-Notiz verortet die Sicherheitsmitteilung und die abgeschlossene Behebung auf den 17.–18. September 2026.

Das ist der Punkt, auf den die CSA-Notiz immer wieder zurückkommt, und das ist keine Kritik an Microsofts Engineering. Eine serverseitige Korrektur ist schnell, vollständig und für den Kunden kostenlos. Sie ist von der Kundenseite aus auch nicht beobachtbar.

Was Microsoft nicht gesagt hat

Laut Cloud Security Alliance gibt der Sicherheitshinweis nicht an, wann die Schwachstelle eingeführt wurde, und die Mitteilung quantifiziert auch nicht das Expositionsfenster. Ebenso wenig legt Microsoft offen, wie die verwundbare Funktion erreichbar war, welcher Anmeldedatentyp beteiligt war, ob mandantenspezifische Identifikatoren erforderlich waren, um sie zu erreichen, oder ob mandantenübergreifender Zugriff möglich war. Dabei handelt es sich nicht um Lücken in der Berichterstattung; es sind Fragen, die laut der CSA-Mitteilung ausdrücklich von Microsoft offen gelassen wurden, und sie nennt die mandantenübergreifende Frage als eine, die für die Risikobewertung jedes Kunden relevant ist.

Die Konsequenz, die die Notiz zieht, ist eng begrenzt und es lohnt sich, sie ohne Beschönigung zu benennen: Erfolgt die Ausnutzung vollständig serverseitig, ist sie von Kundenseite möglicherweise überhaupt nicht sichtbar. Ein Tenant-Administrator hätte womöglich nicht eine einzige Logzeile gehabt, in die er hätte schauen können, selbst wenn seine Projekte ausgespäht worden wären. Die von der CSA empfohlene Reaktion ist retrospektiv: Untersuchen Sie Azure-Aktivitätsprotokolle und AI-Foundry-Audit-Trails aus den Wochen vor dem 17.–18. September 2026 auf ungewöhnliche administrative Aktionen, Änderungen an Modell- oder Agent-Konfigurationen sowie anomale Zugriffe von Dienstkonten, und fragen Sie Microsoft direkt, ob mandantenübergreifender Zugriff technisch möglich war.

Der Sicherheitshinweis selbst nennt weder die meldende Person noch das Datum, an dem die Schwachstelle gemeldet wurde, und auch der NVD-Eintrag nicht, sodass das Intervall zwischen Marots Meldung und der Behebung durch nichts in diesem Datensatz belegt wird.

Die Welle um es herum

CVE-2026-85889 war kein isolierter Fix. Der Security Update Guide von Microsoft listet 18 Schwachstellen auf, die am 17. September 2026 veröffentlicht wurden, und die Zusammensetzung der Gruppe ist die aussagekräftigere Tatsache. Alle 18 sind Critical. Jede einzelne betrifft einen Clouddienst. Bei jeder einzelnen ist vermerkt, dass sie nicht ausgenutzt wird und dass keine Kundenaktion erforderlich ist. Sieben der 18 erreichen 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, zwei in Azure Logic Apps, Azure Arc und Microsoft Container Registry.

Der Kontrast innerhalb der Welle ist entscheidend für die Lesart der Schlagzeile. CVE-2026-85885, die Command-Injection in Microsoft 365 Copilot mit 9.9, wird als PR:L — privileges required — bewertet, und Microsofts Beschreibung sagt „ein autorisierter Angreifer“. CVE-2026-85889 ist PR:N und sagt „ein nicht autorisierter Angreifer“. Zwei Schwachstellen in derselben Version, zwei Critical-Bewertungen, und nur bei einer von ihnen musste der Angreifer vor dem Start über Anmeldeinformationen verfügen. Der dritte KI-Fund in der Gruppe, CVE-2026-85917, ist eine Server-Side-Request-Forgery in Azure AI Foundry mit 7.5, bewertet mit unverändertem Scope und auf Vertraulichkeit beschränkter Auswirkung.

Was sich geändert hat – und was Kunden weiterhin halten können

Was sich geändert hat, ist die Schwachstelle: Microsoft meldet sie als vollständig entschärft, und kein Kunde muss etwas bereitstellen. Was sich nicht geändert hat, ist die Aufzeichnung, die ein Kunde aufbewahren kann. Die Empfehlungen der CSA reichen vom Unmittelbaren bis zum Strukturellen — bestätigen, dass die Behebung vom September 2026 den Tenant erreicht hat; Aktivitätsprotokolle und AI Foundry-Audit-Trails aus den Wochen davor aufbewahren und prüfen; AI Foundry-Projekte nach Tenant und Workload segmentieren; das Prinzip der geringsten Rechte auf Benutzer, Dienstprinzipale und verwaltete Identitäten anwenden; begrenzen, auf welche Daten und Anmeldeinformationen ein einzelnes Projekt zugreifen kann; und AI Foundry- und Microsoft Defender for Cloud-Warnungen zentralisieren.

Seine strukturelle Empfehlung ist diejenige, die sich über diese CVE hinaus verallgemeinern lässt: Cloud-KI-Management-Ebenen als eigenständige Kategorie für Drittanbieterrisiken behandeln, die Offenlegungshistorie von Schwachstellen der Anbieter in Lieferantenbewertungen einbeziehen und vertragliche Meldefristen sowie Transparenz nach Vorfällen bei Control-Plane-Schwachstellen fordern. Nichts davon war erforderlich, um CVE-2026-85889 zu überstehen. Es ist das, was den nächsten sichtbar machen würde.

Wie das Archiv dieses hier einordnet

Der Eintrag ist als Schwachstelle erfasst – eine, die gefunden wurde, nicht eine, von der bekannt ist, dass sie ausgenutzt wurde. Ihr Vertrauensgrad ist mit A bewertet, was gut dokumentiert mit übereinstimmenden Primärquellen bedeutet, und der Eintrag ist nicht als umstritten markiert. Das Feld für tatsächlichen Schaden ist auf falsch gesetzt, und die KI-Beteiligung ist bestätigt: Das betroffene Produkt ist eine generative KI-Anwendung und Agentenplattform, kein Allzweck-Cloud-Dienst, der zufällig in der Nähe eines solchen angesiedelt ist. Das Datum ist tagesgenau mit 17. September 2026 angegeben, ohne Enddatum, da es sich um einen einzelnen Zeitpunkt und nicht um eine Kampagne handelt.

Das Einzige, was die eigenen Felder des Archivs nicht vermitteln können, ist, wie sehr diese Geschichte von einer Abwesenheit geprägt ist. Es gibt eine Authentifizierungsschwachstelle mit maximalem Schweregrad in einer Plattform, die Enterprise-Kunden zum Erstellen und Betreiben von Agenten nutzen. Es gibt einen Fix. Es gibt den Namen eines Forschers. Was es nicht gibt – weder im Advisory, im NVD-Eintrag, in der CSA-Notiz noch in der Fachpresse –, ist eine Aussage darüber, dass jemand die Schwachstelle ausprobiert hat, eine Aussage darüber, wie lange sie erreichbar war, oder eine Möglichkeit für Kunden, dies selbst zu überprüfen.