CoSnitch (CVE-2026-24301): Eén link, één prompt en geheugen dat herinschrijving overleefde

Microsoft heeft op 18 augustus 2026 een driedelige kwetsbaarheidsketen in Copilot Personal gerepareerd die het mogelijk maakte om met één enkele speciaal gemaakte link een prompt van een aanvaller binnen de geauthenticeerde sessie van een slachtoffer uit te voeren en daarna wat er gevonden was via de eigen netwerktoegang van Copilot weer naar buiten te pushen. Varonis Threat Labs meldde de problemen in december 2025 aan Microsoft, publiceerde haar analyse op de dag dat de fix werd uitgebracht en noemde het onderzoek CoSnitch. Microsoft registreert het als CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability", geclassificeerd onder CWE-77 als een command-injectiekwetsbaarheid die een niet-geautoriseerde aanvaller in staat stelt informatie over een netwerk bloot te leggen. De keten bereikte de berichteninhoud van Gmail en Outlook, Google Calendar-items, bestandsnamen in Google Drive, Copilot-chatgeschiedenis en Copilot-geheugen — allemaal gegevens die de gebruiker Copilot al had gemachtigd om te lezen. Een derde fase schreef instructies in het persistente geheugen van Copilot die, volgens Varonis, wachtwoordwijzigingen, sessie-intrekking en herregistratie van apparaten overleefden. Noch Varonis noch Microsofts eigen vermelding registreert enige exploitatie in het wild. Het volledige dossier, met zijn betrouwbaarheidsgraad en geciteerde bronnen, staat in het Orca AI Incident Archive, samen met de omringende vermeldingen in de set.

Hoe één link een sessiebrede query werd

De trigger was een querystring. Copilot Personal accepteert een q-parameter die het chatvak vooraf vult met tekst die via een link wordt aangeleverd, waarna de gebruiker alleen nog op Enter hoeft te drukken — een functie zodat een bookmark of een externe pagina de assistent een prompt kan geven om te beoordelen. Varonis vond een tweede, ongedocumenteerde parameter, autorun=1, die de beoordelingsstap verwijderde. Een URL van de vorm copilot.microsoft.com/?q= gevolgd door de prompt van de aanvaller en autorun=1 voerde die prompt uit zodra de pagina werd geladen, en de onderzoekers melden dat de uitvoering voltooid wordt, zelfs als het tabblad direct daarna wordt gesloten. De prompt wordt uitgevoerd binnen de sessiecontext, connectors en het geheugen van het slachtoffer, waardoor de keten gegevens kon bereiken waarvoor de aanvaller nooit inloggegevens had.

Fase twee is de exfiltratie. De geïnjecteerde prompt bevroeg verbonden apps, voegde de resultaten optioneel samen, codeerde ze base64 naar een URL-veilige tekenreeks en gaf Copilot de opdracht een door de aanvaller beheerd adres op te halen. Copilot's eigen mogelijkheid om URL's op te halen en samen te vatten voerde het verzoek uit, waardoor het uitgaande verkeer op routineus browsen leek. Het voorbeeld van Varonis gebruikte een Pipedream-webhookhost als verzamelpunt, met de payload in het URL-pad. De gegevenscategorieën die de onderzoekers noemen, zijn specifiek: volledige berichtinhoud, onderwerpregels en metadata van afzender en ontvanger uit e-mail, inclusief leesbare wachtwoorden, interne systeemwachtwoorden en resetlinks; agendatitels, deelnemers, tijden en locaties; Drive-bestandsnamen en metadatasamenvattingen; eerdere chatgeschiedenis; en de opgeslagen instructies in Copilot-geheugen. Varonis merkt op dat base64-codering het uitgaande verzoek ook moeilijker maakt voor filters die naar gevoelige patronen zoeken.

Fase drie is de fase die de sessie overleeft. Een pagina die Copilot samenvat, kan instructies bevatten die verborgen zitten in witte tekst van één pixel, HTML-opmerkingen, door CSS verborgen alinea's of metadata, en Varonis meldt dat Copilot die strings als opdrachten behandelde, niet als inhoud. In één demonstratie stelde het geïnjecteerde geheugen dat een CVE onschadelijk was, zodat Copilot de waarschuwing later zou onderdrukken; hetzelfde mechanisme zou kunnen worden gebruikt om resultaten te filteren, antwoorden te vertekenen of acties op basis van een voorwaarde in gang te zetten. Geheugenvermeldingen hebben geen vervaldatum en worden niet gereset bij uitloggen; ze bevinden zich in een opslag op gebruikersniveau, niet in de sessie. De onderzoekers zeggen dat de enige manier om er een te wissen via de geheugeninstellingen van Copilot is, waarvan de meeste gebruikers niet weten dat ze bestaan.

De parameter die Copilot zichzelf noemde

Varonis noemt de ontdekkingsmethode meta-hacking: "social engineering op de redeneermachine zelf", in de bewoordingen van de blog, of "je misbruikt het model niet, je manipuleert het ertoe mee te werken". De onderzoekers begonnen Copilot te vragen hoe een prompt kon worden uitgevoerd zonder gebruikersinteractie. Copilot antwoordde dat gebruikersintentie vereist was en dat prompts niet vanzelf werden geactiveerd. Elke weigering bevatte echter technische details over hoe prompts werden verwerkt, en de onderzoekers herformuleerden de volgende vraag als een gewone follow-up over URL-structuur, deep links en pagina's die laden met al ingevulde invoer. Volgens de blog onthulde Copilot toen de niet-gedocumenteerde parameter ongevraagd, midden in een weigering, samen met het historische gedrag ervan en de beschermingen die waren toegevoegd om deze uit te schakelen. De onderzoekers bouwden de URL zoals beschreven en de prompt werd uitgevoerd.

Die weergave van het gesprek is uitsluitend die van Varonis. In het blog staat dat de specifieke meta-hackingvragen niet letterlijk zijn weergegeven, en Microsofts openbare verklaring over de kwetsbaarheid, die door Dark Reading wordt geciteerd, gaat in het geheel niet in op de techniek. Lior Adar, de senior onderzoeker bij Varonis die de analyse schreef, zei tegen Dark Reading dat Copilot "ons de sleutels in handen gaf" en dat het meta-hackingelement het deel van het onderzoek is waarvan hij verwacht dat het relevant zal blijven. De eigen samenvatting van het blog is botter: "Copilot werd niet gecompromitteerd; er werd met Copilot gespeeld."

Wat Microsoft heeft opgelost, en wat zijn vermelding registreert

Microsofts vermelding in de Security Update Guide voor CVE-2026-24301 werd gepubliceerd op 18 augustus 2026 in de release van augustus 2026 en laatst herzien op 25 augustus 2026. Het beoordeelt het probleem als Kritiek met een CVSS 3.1-basisscore van 8,8 en een tijdsgebonden score van 7,7; de vector is AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Het archief registreert dit record als hoge ernst, de categorie waartoe een basisscore van 8,8 onder CVSS 3.1 behoort — Microsofts ernstlabel bij dezelfde vermelding is Kritiek. Twee velden zijn belangrijker dan het getal: Microsoft registreert het probleem als niet openbaar bekendgemaakt vóór de patch, en als niet misbruikt.

De vermelding bevat geen patch die iemand kan installeren, en Microsofts FAQ zegt dat rechtstreeks: "Deze kwetsbaarheid is door Microsoft al volledig verholpen. Gebruikers van deze dienst hoeven geen actie te ondernemen. Het doel van deze CVE is om meer transparantie te bieden." De verklaring die Microsoft op de dag van publicatie aan Dark Reading gaf, zegt hetzelfde — "Onze klanten zijn al beschermd en hoeven geen actie te ondernemen" — en voegt daaraan toe: "We werken onze guardrails continu bij om onze bescherming tegen vergelijkbare technieken te versterken." Varonis prijst Microsofts samenwerking bij de fix en betwist de timing niet.

De lengte van het venster was waar de meeste berichtgeving zich op richtte: gemeld in december 2025, gepatcht op 18 augustus 2026, wat de onderzoeksnotitie van 20 augustus 2026 van de Cloud Security Alliance op ongeveer acht maanden schat. Gedurende dat venster zat de fout in een consumentenproduct dat voor iedereen via een browserlink bereikbaar is.

Vastgesteld, toegeschreven en niet geclaimd

• Vastgesteld: er bestaat een CVE, gedateerd op 18 augustus 2026, met een basisscore van 8,8, die door Microsoft wordt geregistreerd als noch vóór de patch openbaar gemaakt, noch misbruikt.

• Door de woordvoerder van Microsoft bevestigd, niet onafhankelijk gecontroleerd: het probleem beperkte zich tot Copilot Personal en zakelijke klanten zijn niet getroffen.

• Toegeschreven aan Varonis en herhaald, niet gereproduceerd: de werking van de keten — de autorun-parameter, de webhook-exfiltratie, de demonstratie van memory-poisoning. The Hacker News, Dark Reading en de Cloud Security Alliance beschrijven ze; geen van die media heeft een eigen reproductie gepubliceerd.

• Toegeschreven aan Varonis, enkelvoudige bron: het gesprek over meta-hacking en wat Copilot daarin heeft prijsgegeven. Er is geen transcript gepubliceerd.

• Door niemand geclaimd: slachtoffers, campagnes of enig gebruik in het wild. Varonis zegt geen bewijs van exploitatie te hebben gezien, en Microsoft registreert 'Exploited' als 'No'.

• Niet bekendgemaakt: of de oplossing geheugenitems heeft verwijderd die vóór de oplossing waren geschreven. The Hacker News merkt op dat de bekendmaking dat niet zegt.

Persoonlijk product, bedrijfsdata

De afbakening van Microsoft klopt voor zover die reikt: de fout zat in de consumentenassistent, niet in Microsoft 365 Copilot. Adar betoogt dat die grens minder werk verzet dan het lijkt. "De specifieke kwetsbaarheden die we hebben gevonden, zitten in de Personal-versie, dat klopt. Maar de persoon die Copilot Personal gebruikt, is dezelfde persoon die maandagochtend je kantoor binnenloopt," zei hij tegen Dark Reading. "Die persoon kan bedrijfs-e-mails naar een persoonlijke Gmail laten doorsturen, inloggegevens via persoonlijke accounts delen, werkdocumenten in een persoonlijke Drive hebben. Dus wanneer CoSnitch uit een persoonlijke inbox exfiltreert, zijn de gegevens die het ophaalt vaak bedrijfsgegevens. Een gestolen wachtwoord van een persoonlijk account wordt een toegangspunt in je bedrijfstenant." Dat is een inschatting van de impact, niet een bewering over de reikwijdte van de kwetsbaarheid, en Microsoft heeft daar niet op gereageerd.

Wat verdedigers werd verteld te doen

Er was geen clientupdate, omdat er niets op de client was om te updaten. De richtlijnen van Varonis gaan over autorisatie, niet over patchen: controleer de apps die met een assistent zijn verbonden en verbreek de verbinding met de apps die daar niet nodig zijn, behandel Copilot als een geprivilegieerde insider met toegang tot alles wat het kan bereiken, en behandel een ongevraagde link die een AI-assistent opent als een aanvalsoppervlak en niet als een gemak. "Controleer connectors, minimaliseer toegang en ga ervan uit dat de vertrouwensgrens tussen legitieme en geïnjecteerde prompts doorbroken zal worden," zei Adar tegen Dark Reading.

Microsofts eigen schriftelijke positie over de bredere klasse van geheugenvergiftiging dateert van vóór de CoSnitch-fix. The Hacker News meldt dat een Microsoft-beveiligingsblogpost van 22 juni 2026, gericht op Microsoft 365 en niet op het consumentenproduct, sanitisatie- en prompt-injectiecontroles bij geheugenschrijfacties beschrijft, Task Adherence-controles bij elke expliciete schrijfactie, en een MemoryUpdated-auditveld dat in Defender Advanced Hunting en Sentinel wordt weergegeven — en MSRC-cases van Johann Rehberger, Håkon Måløy en Gal Zror vermeldt.

Waar de keten zit

Het verslag vermeldt dat CoSnitch kan worden gekoppeld aan CVE-2026-24299, de identificatie die Microsoft heeft toegewezen aan het onderzoek naar geheugenvergiftiging dat Johann Rehberger op DEF CON Singapore presenteerde als Copirate 365. Rehbergers verslag, gepubliceerd op 4 mei 2026, behandelt geheugenschrijfacties en -verwijderingen die via indirecte promptinjectie in Microsoft 365 Copilot en Copilot voor consumenten werden bereikt, en een exfiltratiekanaal via HTML-voorbeeldweergave dat misbruik maakt van het laden van lettertypen en achtergrondafbeeldingen. Microsofts vermelding voor CVE-2026-24299 is gedateerd op 19 maart 2026 en heeft een CVSS 3.1-basisscore van 5.3, waarbij exploited is geregistreerd als No.

De Cloud Security Alliance telt CoSnitch als de vierde one-click- of zero-click-Copilot-exfiltratieketen die sinds juni 2025 openbaar is gemaakt, na EchoLeak (CVE-2025-32711), Reprompt en SearchLeak (CVE-2026-42824). Dat aantal is van de CSA, niet van het archief, en het is het sterkste argument in het openbare verslag dat dit een terugkerend patroon is en niet een enkele foute parameter: een assistent met permanente toegang tot e-mail, bestanden en een geheugenopslag, bereikt via een link die iemand overtuigd werd te openen.

De delen van CoSnitch die een lezer zonder Microsoft-tenant kan verifiëren, zijn beperkt: een CVE, een score, een datum voor de fix en twee statusvelden die beide nee zeggen. De delen die het tot een mijlpaal maken, zijn de delen die momenteel rusten op het verslag van één lab over een gesprek met een chatbot: dat een productieassistent zijn eigen niet-gedocumenteerde trigger noemde toen hem werd gevraagd uit te leggen waarom de aanval onmogelijk was.