Azure AI Foundry non richiedeva credenziali per l'escalation dei privilegi — CVE-2026-85889, CVSS 10.0

Microsoft ha reso noto il 17 settembre 2026 che Azure AI Foundry — la piattaforma enterprise per creare, distribuire e gestire applicazioni e agenti di IA generativa, commercializzata anche come Microsoft Foundry — presentava una vulnerabilità di autenticazione mancante valutata CVSS 10.0, il massimo. Registrata come CVE-2026-85889 e classificata come CWE-306, autenticazione mancante per una funzione critica, consentiva a un attaccante non autorizzato di raggiungere via rete una funzione di backend e di escalare i privilegi senza credenziali e senza interazione dell'utente, secondo l'avviso di Microsoft. La piattaforma è ospitata nel cloud, quindi la correzione è stata applicata all'infrastruttura di Microsoft stessa e i clienti non hanno dovuto installare nulla; Microsoft afferma di non aver trovato prove che la vulnerabilità sia mai stata sfruttata e non risultano danni riconducibili a essa. Questo incidente è una voce di the Orca AI Incident Archive, che custodisce il registro completo con le fonti citate, il livello di gravità, la valutazione di affidabilità e il flag di contestazione.

Cosa dice effettivamente l'avviso

Il Microsoft Security Response Center ha un avviso breve, e quasi ogni dettaglio pubblicato su questa vulnerabilità proviene da esso. La sua descrizione recita integralmente: "L'autenticazione mancante per una funzione critica in Azure AI Foundry consente a un attaccante non autorizzato di elevare i privilegi sulla rete." Non ci sono versioni interessate, perché non ci sono versioni: il record MSRC per CVE-2026-85889 indica l'ultima versione software come N/A e non contiene link di aggiornamento né download, che è la forma normale di un avviso per un servizio gestito da Microsoft stessa.

MSRC classifica la vulnerabilità come Critica con un punteggio base di 10,0, sul vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — raggiungibile tramite rete, bassa complessità di attacco, nessun privilegio richiesto, nessuna interazione dell'utente, ambito modificato e impatto elevato su riservatezza, integrità e disponibilità. La voce NVD, pubblicata il 17 settembre 2026 e modificata da ultimo il 25 settembre, riporta la stessa descrizione e associa la debolezza a CWE-306. Nei campi "Sfruttata" e "Divulgata pubblicamente", Microsoft registra No e No.

La falla è stata scoperta da Rémy Marot, citato nel resoconto di The Hacker News sulla divulgazione e nominato nella nota di ricerca della Cloud Security Alliance come persona che l'ha segnalata in modo responsabile. Tale nota, pubblicata il 19 settembre 2026, è l'unica fonte agli atti che esamina ciò che l'avviso omette, e tratta la lacuna come il vero fulcro della vicenda.

10.0 e 9.8 — l'unica metrica sulla quale i due valutatori non concordano

Il numero principale non è unanime. NVD mostra due punteggi CVSS 3.1 per CVE-2026-85889, provenienti da due diversi valutatori, e differiscono esattamente per una metrica. Il punteggio di Microsoft, registrato come fonte secondaria, è 10.0 su AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Il punteggio primario di NVD stesso è 9.8 su AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tutti i componenti sono identici tranne Scope.

Microsoft assegna a Scope il valore Changed; il punteggio principale di NVD lo mantiene Unchanged. Questa è tutta la differenza, e non è pedanteria. In CVSS 3.1, uno Scope Changed significa che il componente vulnerabile e il componente impattato sono autorità di sicurezza diverse — che il punto d'appoggio dell'attaccante e ciò che finisce per controllare si trovano ai lati opposti di un confine. Un 10.0 è l'affermazione che attraversare quel confine è lo scopo della vulnerabilità. Il 9.8 di NVD fa la stessa affermazione sull'impatto, con riservatezza, integrità e disponibilità tutte High, senza affermare l'attraversamento del confine. Entrambi i punteggi sono Critical. L'archivio non tratta il divario come una disputa sul fatto che la vulnerabilità esistesse o fosse stata corretta, e neppure un lettore dovrebbe farlo.

Un terzo valutatore si è spinto oltre sul fronte delle conseguenze senza toccare il punteggio. CISAIl record decisionale SSVC per la CVE, con timestamp del 18 settembre 2026, imposta lo sfruttamento su "none", l'automatizzabilità su "yes" e l'impatto tecnico su "total". Il valore intermedio è quello su cui vale la pena soffermarsi: una vulnerabilità non autenticata, a bassa complessità e che modifica lo scope è per costruzione automatizzabile — nulla in essa richiede che un essere umano la adatti per singolo target.

La correzione che nessun cliente poteva installare

Azure AI Foundry è un servizio ospitato, quindi CVE-2026-85889 non ha mai avuto una patch con il nome di un cliente. L'avviso di MSRC non contiene alcun articolo di aggiornamento né alcuna soluzione alternativa, e risponde alla domanda ovvia nelle proprie FAQ: "Questa vulnerabilità è già stata completamente mitigata da Microsoft. Non vi è alcuna azione da intraprendere per gli utenti di questo servizio. Lo scopo di questo CVE è fornire ulteriore trasparenza."

La nota della Cloud Security Alliance descrive lo stesso assetto: la remediation è stata applicata all'infrastruttura di Microsoft e "i clienti non hanno avuto alcuna patch da installare e nessuna azione da intraprendere". The Hacker News riporta che Microsoft ha dichiarato di aver mitigato completamente il problema cloud e che non era richiesta alcuna azione da parte dei clienti. Il registro di Microsoft contrassegna "customer action required" come falso. Quanto ai tempi, MSRC data il proprio avviso al 17 settembre 2026; la nota della CSA colloca l'avviso e la remediation completata tra il 17 e il 18 settembre 2026.

Questo è il punto su cui la nota CSA continua a tornare, e non è una critica all'ingegneria di Microsoft. Una correzione lato server è rapida, completa e gratuita per il cliente. È anche inosservabile dal lato del cliente.

Quello che Microsoft non ha detto

Secondo la Cloud Security Alliance, l'avviso non indica quando sia stata introdotta la vulnerabilità, e la nota non quantifica la finestra di esposizione. Microsoft non divulga neppure come fosse raggiungibile la funzione vulnerabile, quale tipo di credenziale fosse coinvolto, se fossero necessari identificatori specifici del tenant per sfruttarla, o se fosse possibile l'accesso cross-tenant. Non sono lacune nella divulgazione; sono domande che la nota della CSA afferma esplicitamente essere state lasciate aperte da Microsoft, e definisce la questione cross-tenant come rilevante per la valutazione del rischio di qualsiasi cliente.

La conseguenza che la nota trae è circoscritta e vale la pena enunciarla senza abbellimenti: se lo sfruttamento avviene interamente lato server, potrebbe non essere affatto visibile dal lato del cliente. Un amministratore del tenant potrebbe non aver avuto alcuna riga di log da esaminare anche qualora i suoi progetti fossero stati sondati. La risposta raccomandata dalla CSA è retrospettiva: esaminare i log attività di Azure e le tracce di controllo di AI Foundry risalenti alle settimane precedenti il 17–18 settembre 2026 alla ricerca di azioni amministrative insolite, di modifiche alla configurazione di modelli o agenti e di accessi anomali agli account di servizio, e chiedere direttamente a Microsoft se l'accesso cross-tenant fosse tecnicamente possibile.

L'avviso stesso non indica né chi ha effettuato la segnalazione né la data in cui la vulnerabilità è stata segnalata, e nemmeno il record NVD lo fa, per cui l'intervallo tra la segnalazione di Marot e la correzione non è stabilito da nulla in questo record.

L'onda intorno ad esso

CVE-2026-85889 non è stata una correzione isolata. La Guida agli aggiornamenti della sicurezza di Microsoft elenca 18 vulnerabilità rilasciate il 17 settembre 2026, e la composizione del gruppo è il dato più informativo. Tutte e 18 sono Critiche. Ognuna è un servizio cloud. Ognuna è registrata come non sfruttata e come tale da non richiedere alcuna azione da parte del cliente. Sette delle 18 hanno un punteggio di 10.0: Azure Billing, Microsoft Fabric, Azure AI Foundry, due in Azure Logic Apps, Azure Arc e Microsoft Container Registry.

Il contrasto dentro l'ondata è importante per interpretare il titolo. CVE-2026-85885, l'iniezione di comandi in Microsoft 365 Copilot a 9.9, è valutata PR:L — privilegi richiesti — e la descrizione di Microsoft parla di "un attaccante autorizzato". CVE-2026-85889 è PR:N e parla di "un attaccante non autorizzato". Due difetti nella stessa release, due punteggi Critical, e solo uno dei due richiedeva che l'attaccante possedesse una credenziale prima di iniziare. La terza scoperta AI del gruppo, CVE-2026-85917, è una server-side request forgery in Azure AI Foundry a 7.5, valutata con scope invariato e impatto limitato alla riservatezza.

Cosa è cambiato e cosa un cliente può ancora detenere

Ciò che è cambiato è la vulnerabilità: Microsoft la segnala come completamente mitigata e nessun cliente ha nulla da distribuire. Ciò che non è cambiato è la traccia documentale che un cliente può conservare. Le raccomandazioni della CSA spaziano dall'immediato al strutturale: confermare che la correzione di settembre 2026 abbia raggiunto il tenant; conservare ed esaminare i log delle attività e le tracce di audit di AI Foundry delle settimane precedenti; segmentare i progetti AI Foundry per tenant e carico di lavoro; applicare il privilegio minimo a utenti, entità servizio e identità gestite; limitare i dati e le credenziali a cui può accedere un singolo progetto; e centralizzare gli alert di AI Foundry e Microsoft Defender for Cloud.

La sua raccomandazione strutturale è quella che va oltre questo CVE: trattare i piani di gestione dell'AI cloud come una categoria distinta di rischio di terze parti, includere la cronologia di divulgazione delle vulnerabilità dei fornitori nelle valutazioni dei vendor e richiedere tempi di notifica contrattuali e trasparenza post-incidente per le falle dei piani di controllo. Niente di tutto ciò è stato necessario per sopravvivere a CVE-2026-85889. È ciò che renderebbe visibile il prossimo.

Come l'archivio classifica questo

La voce è archiviata come vulnerabilità — una vulnerabilità trovata, non una di cui sia noto lo sfruttamento. Il suo livello di confidenza è A, il che significa ben documentata con fonti primarie concordanti, e la voce non è contrassegnata come contestata. Il campo relativo al danno reale è impostato su false, e il coinvolgimento dell'IA è confermato: il prodotto interessato è un'applicazione e piattaforma di agenti basata su IA generativa, non un servizio cloud di uso generale che si trova per caso nelle vicinanze. La sua data è registrata con precisione al giorno, 17 settembre 2026, senza data di fine, perché si tratta di un singolo momento nel tempo e non di una campagna.

L'unica cosa che i campi dell'archivio non possono comunicare è quanto della vicenda sia un'assenza. C'è una vulnerabilità di autenticazione di gravità massima in una piattaforma che i clienti enterprise usano per creare ed eseguire agenti. C'è una correzione. C'è il nome di un ricercatore. Quello che non c'è — da nessuna parte nell'advisory, nel record NVD, nella nota CSA o nella stampa specializzata — è una dichiarazione che qualcuno abbia provato la vulnerabilità, una dichiarazione di per quanto tempo sia stata raggiungibile, o un modo per un cliente di verificarlo da sé.