Azure AI Foundry : aucun identifiant requis pour élever les privilèges — CVE-2026-85889, CVSS 10.0

Microsoft a révélé le 17 septembre 2026 que Azure AI Foundry — la plateforme d'entreprise permettant de créer, déployer et gérer des applications et des agents d'IA générative, également commercialisée sous le nom de Microsoft Foundry — présentait une faille d'authentification manquante notée CVSS 10.0, le maximum. Répertoriée sous CVE-2026-85889 et classée comme CWE-306, authentification manquante pour une fonction critique, elle permettait à un attaquant non autorisé d'atteindre une fonction backend sur le réseau et d'élever ses privilèges sans identifiants ni interaction de l'utilisateur, selon l'avis de Microsoft. La plateforme étant hébergée dans le cloud, le correctif a été déployé sur l'infrastructure de Microsoft et les clients n'ont rien eu à installer ; Microsoft indique n'avoir trouvé aucune preuve que la faille ait été exploitée, et aucun dommage n'est enregistré à ce titre. Cet incident est une entrée de l'Orca AI Incident Archive, qui contient le dossier complet avec ses sources citées, sa note de gravité, son évaluation de confiance et son indicateur de contestation.

Ce que dit réellement l’avis

L'avis du Microsoft Security Response Center est court, et presque tous les détails publiés sur cette faille en proviennent. Sa description complète est la suivante : « L'absence d'authentification pour une fonction critique dans Azure AI Foundry permet à un attaquant non autorisé d'élever ses privilèges sur un réseau. » Il n'existe pas de versions affectées, car il n'y a pas de versions : la fiche MSRC relative à CVE-2026-85889 indique la dernière version logicielle comme N/A et ne comporte aucun lien de mise à jour ni téléchargement, ce qui est la forme habituelle d'un avis pour un service que Microsoft exploite elle-même.

MSRC classe la faille comme critique avec un score de base de 10,0, sur le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — accessible sur le réseau, faible complexité d’attaque, aucun privilège requis, aucune interaction utilisateur, portée modifiée et impact élevé sur la confidentialité, l’intégrité et la disponibilité. L’entrée NVD, publiée le 17 septembre 2026 et modifiée pour la dernière fois le 25 septembre, contient la même description et associe la faiblesse à CWE-306. Dans les champs « Exploited » et « Publicly Disclosed », Microsoft indique Non et Non.

La faille a été découverte par Rémy Marot, crédité dans The Hacker News pour son compte rendu de la divulgation, et nommé par la Cloud Security Alliance, dont la note de recherche le cite comme l’ayant signalée de manière responsable. Cette note, publiée le 19 septembre 2026, est la seule source au dossier qui examine ce que l’avis omet, et elle fait de cette lacune l’essentiel du sujet.

10,0 et 9,8 — la seule mesure sur laquelle les deux évaluateurs ne sont pas d’accord

Le chiffre mis en avant ne fait pas l’unanimité. NVD affiche deux scores CVSS 3.1 pour CVE-2026-85889, provenant de deux évaluateurs différents, et ils diffèrent par exactement une métrique. Le score de Microsoft, enregistré comme source secondaire, est de 10,0 sur AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Le score principal de NVD lui-même est de 9,8 sur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tous les composants sont identiques, à l’exception de Scope.

Microsoft attribue au champ Scope la valeur Changed ; le score principal du NVD le maintient à Unchanged. Telle est toute la différence, et ce n'est pas du pédantisme. Dans le CVSS 3.1, un scope Changed signifie que le composant vulnérable et le composant impacté relèvent d'autorités de sécurité différentes — que le point d'ancrage de l'attaquant et ce qu'il finit par contrôler se situent de part et d'autre d'une frontière. Un 10.0 est l'affirmation que franchir cette frontière est précisément l'objet de la faille. Le 9.8 du NVD dit la même chose s'agissant de l'impact — confidentialité, intégrité et disponibilité toutes en High — sans affirmer le franchissement de la frontière. Les deux scores sont Critical. Les archives ne considèrent pas cet écart comme un désaccord sur l'existence ou la correction de la faille, et le lecteur ne devrait pas le faire non plus.

Un troisième évaluateur est allé plus loin sur les conséquences sans toucher au score. CISA pour la CVE, horodaté du 18 septembre 2026, fixe l'exploitation à « aucune », l'automatisabilité à « oui » et l'impact technique à « total ». La valeur intermédiaire est celle sur laquelle il vaut la peine de s'arrêter : une faille non authentifiée, de faible complexité et à changement de portée est par construction automatisable — rien en elle n'exige qu'un humain l'adapte à chaque cible.

Le correctif qu’aucun client n’a pu installer

Azure AI Foundry est un service hébergé, de sorte que CVE-2026-85889 n'a jamais eu de correctif au nom d'un client. L'avis MSRC ne contient ni article de mise à jour ni solution de contournement, et répond à la question évidente dans sa propre FAQ : « Cette vulnérabilité a déjà été entièrement atténuée par Microsoft. Les utilisateurs de ce service n'ont aucune action à effectuer. L'objectif de ce CVE est d'apporter davantage de transparence. »

La note de la Cloud Security Alliance décrit le même dispositif : la remédiation a été appliquée à l'infrastructure de Microsoft et « les clients n'avaient aucun correctif à installer et aucune action à entreprendre ». The Hacker News rapporte que Microsoft a déclaré avoir entièrement atténué le problème cloud et qu'aucune action des clients n'était nécessaire. Le propre registre de Microsoft marque la mention « customer action required » comme fausse. Concernant la chronologie, le MSRC date son avis du 17 septembre 2026 ; la note de la CSA situe l'avis et l'achèvement de la remédiation entre le 17 et le 18 septembre 2026.

C’est le point sur lequel la note de la CSA revient sans cesse, et ce n’est pas une critique de l’ingénierie de Microsoft. Un correctif côté serveur est rapide, complet et gratuit pour le client. Il est également imperceptible du côté du client.

Ce que Microsoft n'a pas dit

Selon la Cloud Security Alliance, l’avis n’indique pas quand la vulnérabilité a été introduite, et la note ne quantifie pas la fenêtre d’exposition. Microsoft ne précise pas non plus comment la fonction vulnérable était accessible, quel type d’informations d’identification était concerné, si des identifiants propres au locataire étaient nécessaires pour l’exploiter, ni si un accès entre locataires était possible. Il ne s’agit pas de lacunes dans le rapport ; ce sont des questions que la note de la CSA indique explicitement que Microsoft a laissées en suspens, et elle cite la question de l’accès entre locataires comme pertinente pour l’évaluation des risques de tout client.

La conséquence que la note en tire est étroite et mérite d'être énoncée sans emphase : si l'exploitation se déroule entièrement côté serveur, elle peut fort bien n'être absolument pas visible depuis le côté client. Un administrateur de locataire pourrait n'avoir eu aucune ligne de journal à consulter, même si ses projets avaient été sondés. La réponse recommandée par la CSA est rétrospective — examiner les journaux d'activité Azure et les pistes d'audit d'AI Foundry des semaines précédant le 17–18 septembre 2026 à la recherche d'actions administratives inhabituelles, de modifications de configuration de modèles ou d'agents et d'accès anormaux à des comptes de service, et demander directement à Microsoft si un accès inter-locataires était techniquement possible.

L'avis lui-même ne mentionne ni le rapporteur ni la date à laquelle la faille a été signalée, et l'entrée NVD non plus, de sorte que l'intervalle entre le rapport de Marot et le correctif n'est établi par aucun élément de ce dossier.

La vague autour

CVE-2026-85889 n'était pas un correctif isolé. Le guide des mises à jour de sécurité de Microsoft recense 18 vulnérabilités publiées le 17 septembre 2026, et la forme du groupe est le fait le plus instructif. Toutes les 18 sont de gravité Critique. Chacune concerne un service cloud. Toutes sont enregistrées comme non exploitées et comme ne nécessitant aucune action de la part du client. Sept des 18 obtiennent un score de 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, deux dans Azure Logic Apps, Azure Arc et Microsoft Container Registry.

Le contraste au sein de la vague compte pour lire le titre. CVE-2026-85885, l’injection de commandes dans Microsoft 365 Copilot à 9,9, est notée PR:L — privilèges requis — et la description de Microsoft indique « un attaquant autorisé ». CVE-2026-85889 est PR:N et indique « un attaquant non autorisé ». Deux failles dans la même version, deux scores Critical, et une seule d’entre elles exigeait que l’attaquant dispose d’un identifiant avant de commencer. La troisième découverte IA du groupe, CVE-2026-85917, est une falsification de requête côté serveur dans Azure AI Foundry à 7,5, notée avec une portée inchangée et un impact limité à la confidentialité.

Ce qui a changé, et ce qu’un client peut encore conserver

Ce qui a changé, c’est la faille : Microsoft la déclare entièrement atténuée, et aucun client n’a rien à déployer. Ce qui n’a pas changé, c’est la trace qu’un client peut conserver. Les recommandations de la CSA vont de l’immédiat au structurel — confirmer que la remédiation de septembre 2026 a bien atteint le locataire ; préserver et examiner les journaux d’activité et les pistes d’audit d’AI Foundry des semaines qui l’ont précédée ; segmenter les projets AI Foundry par locataire et par charge de travail ; appliquer le principe du moindre privilège aux utilisateurs, aux principaux de service et aux identités managées ; limiter les données et les identifiants auxquels un projet donné peut accéder ; et centraliser les alertes d’AI Foundry et de Microsoft Defender for Cloud.

Sa recommandation structurelle est celle qui va au-delà de cette CVE : traiter les plans de gestion des IA cloud comme une catégorie de risque tiers distincte, inclure l'historique de divulgation des vulnérabilités des fournisseurs dans les évaluations des fournisseurs, et exiger des délais de notification contractuels et une transparence post-incident pour les failles des plans de contrôle. Rien de tout cela n'est nécessaire pour avoir survécu à CVE-2026-85889. C'est ce qui rendrait la prochaine visible.

Comment l'archive classe celui-ci

Le dossier est classé comme une vulnérabilité — une vulnérabilité qui a été découverte, et non une vulnérabilité dont l’exploitation est connue. Son niveau de confiance est A, ce qui signifie qu’elle est bien documentée et que des sources primaires concordent, et le dossier n’est pas marqué comme contesté. Son champ « préjudice réel » est faux, et son implication de l’IA est confirmée : le produit affecté est une application d’IA générative et une plateforme d’agents, et non un service cloud à usage général qui se trouverait par hasard à proximité d’une telle application. Sa date est enregistrée avec une précision au jour, le 17 septembre 2026, sans date de fin, car il s’agit d’un instant précis plutôt que d’une campagne.

La seule chose que les champs de l’archive eux-mêmes ne peuvent pas transmettre, c’est à quel point cette histoire est faite d’absences. Il y a une faille d’authentification de gravité maximale dans une plateforme que les clients d’entreprise utilisent pour créer et exécuter des agents. Il y a un correctif. Il y a le nom d’un chercheur. Ce qui n’existe pas — nulle part dans l’avis, la fiche NVD, la note CSA ou la presse spécialisée —, c’est une déclaration selon laquelle quelqu’un aurait essayé la faille, une indication de la durée pendant laquelle elle est restée accessible, ou un moyen pour un client de vérifier par lui-même.