Azure AI Foundry לא דרש פרטי התחברות כדי להסלים הרשאות — CVE-2026-85889, CVSS 10.0

מיקרוסופט חשפה ב-17 בספטמבר 2026 שAzure AI Foundry — הפלטפורמה הארגונית לבנייה, פריסה וניהול של יישומי AI גנרטיבי וסוכנים, המשווקת גם בשם Microsoft Foundry — הכילה פגם של אימות חסר בדירוג CVSS 10.0, המקסימלי. במעקב כCVE-2026-85889 ומסווג כCWE-306, היעדר אימות לפונקציה קריטית, איפשר לתוקף בלתי מורשה להגיע לפונקציית backend דרך הרשת ולהסלים הרשאות ללא פרטי התחברות וללא אינטראקציית משתמש, לפי ההודעה של מיקרוסופט. הפלטפורמה מתארחת בענן, ולכן התיקון הוטמע בתשתית של מיקרוסופט עצמה וללקוחות לא היה צורך להתקין דבר; מיקרוסופט אומרת שלא מצאה ראיות לכך שהפגם נוצל אי פעם, ולא נרשם נזק בגינו. אירוע זה הוא רשומה אחת בארכיון האירועים של Orca AI, אשר מכיל את התיעוד המלא עם המקורות המצוטטים שלו, דירוג חומרה, הערכת ביטחון וסימון מחלוקת.

מה שהודעת האזהרה למעשה אומרת

הMicrosoft Security Response Center קצר, וכמעט כל פרט שפורסם על פגם זה מגיע ממנו. תיאורו המלא הוא: "היעדר אימות לפונקציה קריטית ב-Azure AI Foundry מאפשר לתוקף בלתי מורשה להעלות הרשאות דרך הרשת." אין גרסאות מושפעות, כי אין גרסאות: הרשומה של MSRC עבור CVE-2026-85889 מפרטת את מהדורת התוכנה העדכנית כ-N/A ואינה כוללת קישורי עדכון או הורדה, וזה המבנה הרגיל של ייעוץ עבור שירות שמיקרוסופט מפעילה בעצמה.

MSRC מדרגת את הפגם כקריטי עם ציון בסיס של 10.0, לפי הווקטור CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — נגיש דרך הרשת, מורכבות תקיפה נמוכה, לא נדרשות הרשאות, לא נדרשת אינטראקציית משתמש, ההיקף שונה, והשפעה גבוהה על סודיות, שלמות וזמינות. רשומת ה-NVD, שפורסמה ב-17 בספטמבר 2026 ושונתה לאחרונה ב-25 בספטמבר, כוללת את אותו תיאור וממפה את החולשה ל-CWE-306. בשדות "נוצל" ו"נחשף לציבור", Microsoft מציינת "לא" ו"לא".

הפגם נמצא על ידי Rémy Marot, שקיבל קרדיט ב-The Hacker News בדיווח על החשיפה ושמו מופיע ב-Cloud Security Alliance — הערת המחקר מציינת אותו כמי שדיווח על כך באחריות. אותה הערה, שפורסמה ב-19 בספטמבר 2026, היא המקור היחיד בתיעוד שבוחן את מה שהייעוץ משמיט, והיא מתייחסת לפער כאל הסיפור עצמו.

10.0 ו-9.8 — המדד היחיד שבו שני הסוקרים חלוקים

מספר הכותרת אינו מוסכם. NVD מציג שני ציוני CVSS 3.1 עבור CVE-2026-85889, משני מדרגים שונים, והם נבדלים במדד אחד בדיוק. הציון של Microsoft, שנרשם כמקור משני, הוא 10.0 על AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. הציון הראשי של NVD עצמו הוא 9.8 על AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. כל מרכיב זהה למעט Scope.

Microsoft מדרגת את Scope כ-Changed; הציון הראשי של NVD משאיר אותו Unchanged. זה כל ההבדל, וזה לא קפדנות יתר. ב-CVSS 3.1, Scope Changed פירושו שהרכיב הפגיע והרכיב המושפע הם רשויות אבטחה שונות — שנקודת האחיזה של התוקף והדבר שהוא בסופו של דבר שולט בו נמצאים בצדדים מנוגדים של גבול. ציון 10.0 הוא טענה שחציית הגבול הזה היא תכלית הפגם. הציון 9.8 של NVD מצהיר את אותה הצהרה לגבי השפעה, סודיות, שלמות וזמינות, שכולם High, בלי לקבוע את חציית הגבול. שני הציונים הם Critical. הארכיון אינו מתייחס לפער כמחלוקת בשאלה אם הפגם היה קיים או תוקן, וגם הקורא לא צריך.

מעריך שלישי הרחיק לכת בנוגע להשלכה מבלי לגעת בציון. CISA: רשומת החלטת SSVC עבור ה-CVE, עם חותמת זמן של 18 בספטמבר 2026, מגדירה ניצול כ"none", אוטומטיות כ"yes", והשפעה טכנית כ"total". הערך האמצעי הוא זה ששווה להתעכב עליו: פגם ללא אימות, בעל מורכבות נמוכה ומשנה היקף הוא אוטומטי מעצם הגדרתו — אין בו דבר שמחייב אדם להתאימו לכל יעד.

התיקון שאף לקוח לא יכול היה להתקין

Azure AI Foundry הוא שירות מתארח, ולכן ל-CVE-2026-85889 מעולם לא היה תיקון שנשא את שמו של לקוח. ייעוץ האבטחה של MSRC אינו כולל מאמר עדכון ואינו כולל פתרון עוקף, והוא עונה על השאלה המתבקשת בשאלות הנפוצות שלו: "הפגיעות הזו כבר הופחתה במלואה על ידי Microsoft. אין פעולה שעל משתמשי השירות הזה לנקוט. מטרת ה-CVE הזה היא לספק שקיפות נוספת."

הערת ה-Cloud Security Alliance מתארת את אותו הסדר: התיקון הוחל על התשתית של מיקרוסופט, ו"ללקוחות לא היה טלאי להתקין ולא פעולה לבצע". דה האקר ניוז מדווח שמיקרוסופט מסרה כי פתרה באופן מלא את הבעיה בענן ושאין צורך בפעולה מצד הלקוחות. הרשומה של מיקרוסופט עצמה מסמנת את "נדרשת פעולה מצד הלקוח" כ-false. באשר לתזמון, MSRC מתארכת את הייעוץ שלה ל-17 בספטמבר 2026; הערת ה-CSA ממקמת את הייעוץ ואת השלמת התיקון בין 17 ל-18 בספטמבר 2026.

זו הנקודה שאליה שבה הערת ה-CSA שוב ושוב, וזו אינה ביקורת על ההנדסה של מיקרוסופט. תיקון בצד השרת הוא מהיר, שלם וחינמי עבור הלקוח. הוא גם אינו ניתן לצפייה מצד הלקוח.

מה שמיקרוסופט לא אמרה

לפי Cloud Security Alliance, הייעוץ אינו מציין מתי הוכנסה הפגיעות, וההערה אינה מכמתת את חלון החשיפה. כמו כן, Microsoft אינה חושפת כיצד ניתן היה להגיע לפונקציה הפגיעה, איזה סוג של פרטי הזדהות היה מעורב, האם היה צורך במזהים ייחודיים לדייר כדי לפגוע בה, או האם גישה חוצת-דיירים הייתה אפשרית. אלה אינם פערים בדיווח; אלו שאלות שההערה של CSA אומרת במפורש ש-Microsoft השאירה פתוחות, והיא מכנה את שאלת הגישה החוצת-דיירים כרלוונטית להערכת הסיכון של כל לקוח.

ההשלכה שההערה מסיקה היא מצומצמת וראויה להיאמר ללא קישוטים: אם הניצול מתרחש כולו בצד השרת, ייתכן שהוא כלל לא יהיה גלוי מצד הלקוח. ייתכן שלמנהל דייר לא הייתה אפילו שורת יומן אחת לבחון, גם אם הפרויקטים שלו נבדקו. התגובה המומלצת של CSA היא רטרוספקטיבית — לבחון יומני פעילות של Azure ונתיבי ביקורת של AI Foundry מהשבועות שלפני 17–18 בספטמבר 2026 לאיתור פעולות ניהוליות חריגות, שינויים בתצורת מודלים או סוכנים, וגישה חריגה לחשבון שירות, ולשאול את Microsoft ישירות אם גישה חוצת־דיירים הייתה אפשרית מבחינה טכנית.

היידוע עצמו אינו מציין לא את שם המדווח ולא את התאריך שבו דווח על הפגם, וגם רשומת NVD אינה מציינת אותם, ולכן אין דבר ברשומה זו שמבסס את המרווח בין הדיווח של Marot לבין התיקון.

הגל סביבו

CVE-2026-85889 לא היה תיקון מבודד. מדריך עדכוני האבטחה של Microsoft מפרט 18 פגיעויות שפורסמו ב-17 בספטמבר 2026, וצורת הקבוצה היא העובדה המאלפת יותר. כל 18 הן קריטיות. כל אחת מהן היא שירות ענן. כל אחת מהן רשומה כלא מנוצלת וככזו שאינה דורשת פעולה מצד הלקוח. שבע מתוך 18 מקבלות ציון 10.0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, שתיים ב-Azure Logic Apps, Azure Arc, ו-Microsoft Container Registry.

הניגוד בתוך הגל חשוב לקריאת הכותרת. CVE-2026-85885, הזרקת הפקודה ב-Microsoft 365 Copilot עם ציון 9.9, מדורג PR:L — נדרשות הרשאות — והתיאור של Microsoft אומר "תוקף מורשה". CVE-2026-85889 הוא PR:N ואומר "תוקף לא מורשה". שני פגמים באותו מהדורה, שני ציוני Critical, ורק אחד מהם דרש מהתוקף להחזיק פרטי התחברות לפני שהתחיל. ממצא ה-AI השלישי בקבוצה, CVE-2026-85917, הוא זיוף בקשה בצד השרת ב-Azure AI Foundry עם ציון 7.5, מדורג עם היקף ללא שינוי והשפעה מוגבלת לסודיות.

מה השתנה, ומה לקוח עדיין יכול להחזיק

מה שהשתנה הוא הפגם: Microsoft מדווחת עליו כממוזער לחלוטין, ולאף לקוח אין מה לפרוס. מה שלא השתנה הוא התיעוד שלקוח יכול לשמור. ההמלצות של CSA נעות מהמיידי ועד למבני — לאשר שהתיקון מספטמבר 2026 הגיע לדייר; לשמר ולבחון יומני פעילות ונתיבי ביקורת של AI Foundry מהשבועות שלפניו; לפצל פרויקטים של AI Foundry לפי דייר ועומס עבודה; ליישם הרשאה מינימלית למשתמשים, לישויות שירות ולזהויות מנוהלות; להגביל אילו נתונים ואישורים כל פרויקט בודד יכול להגיע אליהם; ולרכז התראות של AI Foundry ו-Microsoft Defender for Cloud.

ההמלצה המבנית שלה היא זו שחלה מעבר ל-CVE הזה: להתייחס למישורי הניהול של בינה מלאכותית בענן כקטגוריית סיכון נפרדת של צד שלישי, לכלול את היסטוריית חשיפת הפגיעויות של הספקים בהערכות ספקים, ולדרוש לוחות זמנים חוזיים להודעה ושקיפות לאחר אירוע עבור פגמים במישור הבקרה. שום דבר מזה לא היה נדרש כדי לשרוד את CVE-2026-85889. זה מה שיהפוך את הפגם הבא לנראה.

איך הארכיון מסווג את זה

הרשומה מוגשת כפגיעות — כזו שנמצאה, ולא כזו שידוע שנוצלה לרעה. רמת הביטחון שלה היא A, כלומר מתועדת היטב עם מקורות ראשוניים שמסכימים, והרשומה אינה מסומנת כמחלוקת. שדה הנזק הממשי הוא false, ומעורבות ה-AI מאומתת: המוצר המושפע הוא יישום ופלטפורמת סוכנים מבוססי AI גנרטיבי, ולא שירות ענן לשימוש כללי שמקרה נמצא בסמוך לאחד כזה. התאריך נרשם ברמת דיוק יומית, 17 בספטמבר 2026, ללא תאריך סיום, משום שמדובר בנקודת זמן בודדת ולא בקמפיין.

הדבר היחיד ששדות הארכיון עצמם אינם יכולים להעביר הוא עד כמה גדול חלקו של הסיפור שהוא היעדר. יש פגם אימות בחומרה מרבית בפלטפורמה שלקוחות ארגוניים משתמשים בה כדי לבנות ולהריץ סוכנים. יש תיקון. יש שמו של חוקר. מה שאין — בשום מקום ביידעון, ברשומת ה-NVD, בהערת ה-CSA או בעיתונות המקצועית — הוא אמירה שמישהו ניסה את הפגם, אמירה כמה זמן הוא היה נגיש, או דרך ללקוח לבדוק בעצמו.