Azure AI Foundry Tidak Memerlukan Kredensial untuk Meningkatkan Hak Istimewa — CVE-2026-85889, CVSS 10.0

Microsoft mengungkapkan pada 17 September 2026 bahwa Azure AI Foundry — platform perusahaan untuk membangun, menerapkan, dan mengelola aplikasi serta agen AI generatif, yang juga dipasarkan sebagai Microsoft Foundry — memiliki kerentanan autentikasi yang hilang dengan peringkat CVSS 10.0, nilai maksimum. Dilacak sebagai CVE-2026-85889 dan diklasifikasikan sebagai CWE-306, autentikasi yang hilang untuk fungsi kritis, kerentanan ini memungkinkan penyerang tanpa otorisasi menjangkau fungsi backend melalui jaringan dan meningkatkan hak akses tanpa kredensial dan tanpa interaksi pengguna, menurut nasihat Microsoft. Platform ini dihosting di cloud, sehingga perbaikannya diterapkan pada infrastruktur Microsoft sendiri dan pelanggan tidak perlu memasang apa pun; Microsoft menyatakan tidak menemukan bukti bahwa kerentanan tersebut pernah dieksploitasi, dan tidak ada kerugian yang tercatat karenanya. Insiden ini merupakan salah satu entri dalam the Orca AI Incident Archive, yang menyimpan catatan lengkap beserta sumber yang dikutip, tingkat keparahan, penilaian keyakinan, dan tanda sengketa.

Apa yang sebenarnya dikatakan oleh pemberitahuan itu

Advisori Microsoft Security Response Center tersebut singkat, dan hampir semua detail yang dipublikasikan tentang cacat ini berasal darinya. Deskripsinya berbunyi lengkap: "Autentikasi yang hilang untuk fungsi kritis di Azure AI Foundry memungkinkan penyerang tanpa otorisasi meningkatkan hak istimewa melalui jaringan." Tidak ada versi yang terdampak, karena memang tidak ada versi: catatan MSRC untuk CVE-2026-85889 mencantumkan rilis perangkat lunak terbaru sebagai N/A dan tidak memuat tautan pembaruan atau unduhan, yang merupakan bentuk normal advisori untuk layanan yang dijalankan Microsoft sendiri.

MSRC menilai celah ini sebagai Kritis dengan skor dasar 10.0, pada vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — dapat dijangkau melalui jaringan, kompleksitas serangan rendah, tidak memerlukan hak istimewa, tidak ada interaksi pengguna, cakupan berubah, serta dampak tinggi terhadap kerahasiaan, integritas, dan ketersediaan. Entri NVD, yang diterbitkan pada 17 September 2026 dan terakhir diubah pada 25 September, memuat deskripsi yang sama dan memetakan kelemahan tersebut ke CWE-306. Pada kolom "Exploited" dan "Publicly Disclosed", Microsoft mencatat No dan No.

Kerentanan tersebut ditemukan oleh Rémy Marot, yang dalam laporan The Hacker News tentang pengungkapan tersebut diberi kredit dan disebut dalam catatan penelitian Cloud Security Alliance sebagai pihak yang melaporkannya secara bertanggung jawab. Catatan tersebut, yang diterbitkan pada 19 September 2026, adalah satu-satunya sumber dalam catatan ini yang mengkaji apa yang dihilangkan oleh advisori, dan catatan itu memperlakukan celah tersebut sebagai inti cerita.

10.0 dan 9.8 — satu-satunya metrik yang membuat kedua penilai tidak sepakat

Angka utamanya tidak bulat. NVD menampilkan dua skor CVSS 3.1 untuk CVE-2026-85889, dari dua penilai berbeda, dan keduanya berbeda tepat pada satu metrik. Skor Microsoft, yang diajukan sebagai sumber sekunder, adalah 10.0 pada AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Skor primer NVD sendiri adalah 9.8 pada AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Setiap komponen identik kecuali Scope.

Microsoft menilai Scope sebagai Changed; skor utama NVD mempertahankannya sebagai Unchanged. Itulah keseluruhan perbedaannya, dan itu bukan sekadar berpegang pada detail kecil. Dalam CVSS 3.1, scope Changed berarti komponen yang rentan dan komponen yang terdampak adalah otoritas keamanan yang berbeda — bahwa pijakan penyerang dan objek yang akhirnya mereka kendalikan berada di sisi berlawanan dari suatu batas. Skor 10.0 merupakan klaim bahwa melintasi batas itulah maksud dari celah tersebut. Skor 9.8 dari NVD menyatakan hal yang sama tentang dampak, kerahasiaan, integritas, dan ketersediaan yang semuanya High, tanpa menegaskan adanya lintas batas. Kedua skor bersifat Critical. Arsip tidak memperlakukan selisih itu sebagai perselisihan tentang apakah celah tersebut pernah ada atau telah diperbaiki, dan pembaca juga tidak semestinya.

Penilai ketiga melangkah lebih jauh dalam hal konsekuensi tanpa mengubah skor. CISACatatan keputusan SSVC CISA untuk CVE tersebut, bertanda waktu 18 September 2026, menetapkan eksploitasi ke "none", kemampuan otomatisasi ke "yes", dan dampak teknis ke "total". Nilai tengahnya adalah yang perlu direnungkan: cacat tanpa autentikasi, kompleksitas rendah, dan mengubah cakupan secara konstruksi dapat diotomatisasi — tidak ada di dalamnya yang memerlukan manusia untuk menyesuaikannya per target.

Perbaikan yang tidak bisa dipasang oleh pelanggan mana pun

Azure AI Foundry adalah layanan terkelola, sehingga CVE-2026-85889 tidak pernah memiliki patch yang mencantumkan nama pelanggan. Advisory MSRC tidak memuat artikel pembaruan maupun solusi sementara, dan menjawab pertanyaan yang sudah jelas dalam FAQ-nya: "Kerentanan ini telah sepenuhnya dimitigasi oleh Microsoft. Pengguna layanan ini tidak perlu melakukan tindakan apa pun. Tujuan CVE ini adalah untuk memberikan transparansi lebih lanjut."

Catatan Cloud Security Alliance menjelaskan pengaturan yang sama: remediasi diterapkan pada infrastruktur Microsoft, dan "pelanggan tidak perlu memasang patch dan tidak perlu melakukan tindakan apa pun". Hacker News melaporkan bahwa Microsoft mengatakan telah sepenuhnya memitigasi masalah cloud tersebut dan bahwa tidak ada tindakan pelanggan yang diperlukan. Catatan Microsoft sendiri menandai "customer action required" sebagai salah. Mengenai waktunya, MSRC mencantumkan tanggal advisory-nya pada 17 September 2026; catatan CSA menempatkan advisory dan remediasi yang telah selesai pada 17–18 September 2026.

Inilah poin yang berulang kali ditegaskan dalam catatan CSA, dan ini bukanlah kritik terhadap rekayasa Microsoft. Perbaikan di sisi server bersifat cepat, tuntas, dan gratis bagi pelanggan. Perbaikan itu juga tidak terlihat dari sisi pelanggan.

Apa yang tidak dikatakan Microsoft

Menurut Cloud Security Alliance, advisory tersebut tidak menyatakan kapan kerentanan itu diperkenalkan, dan catatan itu tidak mengukur jendela paparan. Microsoft juga tidak mengungkapkan bagaimana fungsi yang rentan dapat dijangkau, jenis kredensial apa yang terlibat, apakah pengenal spesifik tenant diperlukan untuk mencapainya, atau apakah akses lintas tenant mungkin terjadi. Itu bukan kekosongan dalam pelaporan; itu adalah pertanyaan yang secara eksplisit dinyatakan dalam catatan CSA sebagai hal yang dibiarkan terbuka oleh Microsoft, dan catatan itu menyebut pertanyaan lintas tenant sebagai hal yang relevan untuk penilaian risiko pelanggan mana pun.

Konsekuensi yang ditarik catatan itu sempit dan layak dinyatakan tanpa bumbu: jika eksploitasi terjadi sepenuhnya di sisi server, hal itu mungkin sama sekali tidak terlihat dari sisi pelanggan. Administrator tenant bisa saja tidak memiliki satu baris log pun untuk diperiksa meskipun proyek mereka telah diprobe. Respons yang direkomendasikan CSA bersifat retrospektif — periksa log aktivitas Azure dan jejak audit AI Foundry dari minggu-minggu sebelum 17–18 September 2026 untuk tindakan administratif yang tidak biasa, perubahan konfigurasi model atau agen, dan akses akun layanan yang anomali, serta tanyakan langsung kepada Microsoft apakah akses lintas tenant mungkin secara teknis.

Advisori itu sendiri tidak menyebutkan nama pelapor maupun tanggal kerentanan dilaporkan, dan catatan NVD juga tidak, sehingga selang waktu antara laporan Marot dan perbaikan tidak dapat ditetapkan oleh apa pun dalam catatan ini.

Gelombang di sekitarnya

CVE-2026-85889 bukanlah perbaikan yang terisolasi. Panduan pembaruan keamanan Microsoft mencantumkan 18 kerentanan yang dirilis pada 17 September 2026, dan komposisi kelompok ini adalah fakta yang lebih informatif. Ke-18 kerentanan tersebut bersifat Kritis. Semuanya adalah layanan cloud. Semuanya tercatat sebagai tidak dieksploitasi dan tidak memerlukan tindakan pelanggan. Tujuh dari 18 kerentanan tersebut memiliki skor 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, dua di Azure Logic Apps, Azure Arc, dan Microsoft Container Registry.

Kontras di dalam gelombang ini penting untuk membaca judul berita. CVE-2026-85885, injeksi perintah dalam Microsoft 365 Copilot dengan skor 9,9, dinilai PR:L — privileges required — dan deskripsi Microsoft menyebut "penyerang yang berwenang". CVE-2026-85889 adalah PR:N dan menyebut "penyerang tidak berwenang". Dua cacat dalam rilis yang sama, dua skor Kritis, dan hanya satu yang mengharuskan penyerang memiliki kredensial sebelum mereka memulai. Temuan AI ketiga dalam kelompok ini, CVE-2026-85917, adalah server-side request forgery di Azure AI Foundry dengan skor 7,5, dinilai dengan cakupan tidak berubah dan dampak terbatas pada kerahasiaan.

Apa yang berubah, dan apa yang masih bisa dipertahankan pelanggan

Yang berubah adalah kelemahannya: Microsoft melaporkannya sebagai telah sepenuhnya dimitigasi, dan tidak ada pelanggan yang perlu menerapkan apa pun. Yang tidak berubah adalah catatan yang dapat disimpan pelanggan. Rekomendasi CSA berkisar dari yang bersifat segera hingga struktural — pastikan remediasi September 2026 telah mencapai tenant; pertahankan dan tinjau log aktivitas serta jejak audit AI Foundry dari minggu-minggu sebelumnya; segmentasikan proyek AI Foundry berdasarkan tenant dan beban kerja; terapkan hak istimewa paling rendah kepada pengguna, service principal, dan managed identity; batasi data dan kredensial yang dapat dijangkau oleh satu proyek mana pun; serta sentralisasikan peringatan AI Foundry dan Microsoft Defender for Cloud.

Rekomendasi strukturalnya adalah rekomendasi yang dapat digeneralisasi melampaui CVE ini: perlakukan bidang manajemen AI cloud sebagai kategori risiko pihak ketiga yang berbeda, sertakan riwayat pengungkapan kerentanan penyedia dalam penilaian vendor, dan syaratkan tenggat pemberitahuan kontraktual serta transparansi pascainsiden untuk cacat bidang kendali. Tidak satu pun dari hal itu diperlukan untuk bisa bertahan dari CVE-2026-85889. Itulah yang akan membuat kerentanan berikutnya terlihat.

Bagaimana arsip mengklasifikasikan yang ini

Catatan tersebut diajukan sebagai kerentanan — kerentanan yang ditemukan, bukan yang diketahui telah dieksploitasi. Tingkat keyakinannya dinilai A, yang berarti terdokumentasi dengan baik dan sumber-sumber primer saling sepakat, dan catatan tersebut tidak ditandai sebagai dipersengketakan. Bidang dampak nyatanya bernilai false, dan keterlibatan AI-nya terkonfirmasi: produk yang terdampak adalah aplikasi dan platform agen AI generatif, bukan layanan cloud serbaguna yang kebetulan berada di dekatnya. Tanggalnya tercatat dengan presisi hari, 17 September 2026, tanpa tanggal akhir, karena ini adalah satu titik waktu, bukan sebuah kampanye.

Satu hal yang tidak dapat disampaikan oleh kolom-kolom arsip itu sendiri adalah seberapa besar cerita ini sesungguhnya tentang ketiadaan. Ada cacat autentikasi dengan tingkat keparahan maksimum pada sebuah platform yang digunakan pelanggan perusahaan untuk membangun dan menjalankan agen. Ada perbaikannya. Ada nama seorang peneliti. Yang tidak ada — di mana pun dalam advisory, catatan NVD, catatan CSA, maupun media industri — adalah pernyataan bahwa ada orang yang mencoba cacat tersebut, pernyataan tentang berapa lama cacat itu dapat dijangkau, atau cara bagi pelanggan untuk memeriksanya sendiri.