Azure AI Foundry had geen inloggegevens nodig om privileges te escaleren — CVE-2026-85889, CVSS 10.0

Microsoft maakte op 17 september 2026 bekend dat Azure AI Foundry — het enterpriseplatform voor het bouwen, implementeren en beheren van generatieve-AI-applicaties en -agents, ook op de markt gebracht als Microsoft Foundry — een kwetsbaarheid voor ontbrekende authenticatie bevatte met een score van CVSS 10.0, het maximum. Geregistreerd als CVE-2026-85889 en geclassificeerd als CWE-306, ontbrekende authenticatie voor een kritieke functie, stelde het een onbevoegde aanvaller in staat om via het netwerk een backendfunctie te bereiken en privileges te escaleren zonder inloggegevens en zonder tussenkomst van de gebruiker, volgens het advies van Microsoft. Het platform wordt in de cloud gehost, dus de oplossing is op Microsofts eigen infrastructuur uitgerold en klanten hoefden niets te installeren; Microsoft zegt geen bewijs te hebben gevonden dat de kwetsbaarheid ooit is misbruikt, en er is daarvoor geen schade geregistreerd. Dit incident is een vermelding in het Orca AI Incident Archive, dat het volledige dossier bevat met de aangehaalde bronnen, de ernstgradering, de betrouwbaarheidsbeoordeling en de markering voor betwisting.

Wat het advies eigenlijk zegt

Het Microsoft Security Response Center-advies is kort, en bijna elk gepubliceerd detail over deze kwetsbaarheid komt daaruit. De beschrijving luidt volledig: "Ontbrekende authenticatie voor een kritieke functie in Azure AI Foundry stelt een ongeautoriseerde aanvaller in staat privileges via een netwerk te verhogen." Er zijn geen getroffen versies, want er zijn geen versies: het MSRC-record voor CVE-2026-85889 vermeldt de nieuwste softwarerelease als N/A en bevat geen update-links of download, wat de normale vorm is van een advies voor een dienst die Microsoft zelf beheert.

MSRC beoordeelt de kwetsbaarheid als Kritiek met een basisscore van 10,0, op de vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — bereikbaar via het netwerk, lage aanvalscomplexiteit, geen privileges vereist, geen gebruikersinteractie, scope gewijzigd en grote impact op vertrouwelijkheid, integriteit en beschikbaarheid. Het NVD-item, gepubliceerd op 17 september 2026 en laatst gewijzigd op 25 september, bevat dezelfde beschrijving en koppelt de zwakheid aan CWE-306. In de velden "Exploited" en "Publicly Disclosed" registreert Microsoft Nee en Nee.

De fout werd gevonden door Rémy Marot, die wordt genoemd in het verslag van The Hacker News over de openbaarmaking en in de Cloud Security Alliance-onderzoeksnotitie als degene die het verantwoord heeft gemeld. Die notitie, gepubliceerd op 19 september 2026, is de enige bron in het dossier die onderzoekt wat het advies weglaat, en zij behandelt het hiaat als het verhaal.

10,0 en 9,8 — de enige statistiek waarover de twee scorers het oneens zijn

Het belangrijkste cijfer is niet unaniem. NVD toont twee CVSS 3.1-scores voor CVE-2026-85889, afkomstig van twee verschillende beoordelaars, en ze verschillen op precies één metriek. De score van Microsoft, geregistreerd als secundaire bron, is 10,0 op AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. De eigen primaire score van NVD is 9,8 op AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Elke component is identiek, behalve Scope.

Microsoft scoort Scope als Changed; de primaire score van NVD houdt die op Unchanged. Dat is het hele verschil, en het is geen muggenzifterij. In CVSS 3.1 betekent een scope die op Changed staat dat de kwetsbare component en de getroffen component verschillende beveiligingsautoriteiten zijn — dat de plek waar de aanvaller voet aan de grond heeft en het ding dat hij uiteindelijk onder controle krijgt, zich aan weerszijden van een grens bevinden. Een 10.0 claimt dat het overschrijden van die grens het doel van de fout is. De 9.8 van NVD doet dezelfde uitspraak over impact, vertrouwelijkheid, integriteit en beschikbaarheid die allemaal High zijn, zonder de grensoverschrijding te stellen. Beide scores zijn Critical. Het archief ziet de kloof niet als een geschil over de vraag of de fout bestond of is verholpen, en een lezer zou dat ook niet moeten doen.

Een derde beoordelaar ging verder over de consequentie zonder de score aan te passen. CISA's SSVC-beslissingsrecord voor de CVE, met tijdstempel 18 september 2026, stelt exploitatie in op "none", automatiseerbaarheid op "yes" en technische impact op "total". De middelste waarde is het overwegen waard: een niet-geauthenticeerde kwetsbaarheid met lage complexiteit die de scope verandert, is per constructie automatiseerbaar — niets eraan vereist dat een mens deze per doel aanpast.

De oplossing die geen enkele klant kon installeren

Azure AI Foundry is een gehoste service, dus CVE-2026-85889 heeft nooit een patch gehad waar de naam van een klant aan hing. Het advies van MSRC bevat geen updateartikel en geen tijdelijke oplossing, en beantwoordt de voor de hand liggende vraag in zijn eigen FAQ: "This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take. The purpose of this CVE is to provide further transparency."

De nota van de Cloud Security Alliance beschrijft dezelfde regeling: de herstelactie werd toegepast op de infrastructuur van Microsoft, en "klanten hadden geen patch te installeren en hoefden niets te doen". The Hacker News meldt dat Microsoft zei dat het cloudprobleem volledig was verholpen en dat er geen actie van klanten nodig was. In Microsofts eigen administratie staat "actie van klant vereist" op onwaar. Wat de timing betreft, dateert MSRC zijn advies op 17 september 2026; de CSA-nota plaatst het advies en de voltooide herstelactie op 17–18 september 2026.

Dit is het punt waar de CSA-notitie steeds op terugkomt, en het is geen kritiek op de engineering van Microsoft. Een oplossing aan de serverzijde is snel, volledig en gratis voor de klant. Ze is bovendien niet waarneembaar aan de klantzijde.

Wat Microsoft niet zei

Volgens de Cloud Security Alliance vermeldt het advies niet wanneer de kwetsbaarheid is geïntroduceerd, en de nota kwantificeert het blootstellingsvenster niet. Microsoft maakt ook niet bekend hoe de kwetsbare functie bereikbaar was, welk type referentie betrokken was, of tenant-specifieke identifiers nodig waren om die te treffen, of cross-tenant toegang mogelijk was. Dat zijn geen hiaten in de rapportage; het zijn vragen die de CSA-nota expliciet zegt dat Microsoft open heeft gelaten, en ze noemt de cross-tenantvraag als een vraag die relevant is voor de risicobeoordeling van elke klant.

De consequentie die de nota trekt, is beperkt en verdient het zonder opsmuk te worden verwoord: als misbruik volledig aan de serverzijde plaatsvindt, is het vanuit de klant mogelijk helemaal niet zichtbaar. Een tenantbeheerder had misschien geen enkele logregel om naar te kijken, zelfs niet als er bij hun projecten is geprobeerd toegang te krijgen. De door de CSA aanbevolen reactie is retrospectief: onderzoek Azure-activiteitenlogboeken en AI Foundry-audittrails uit de weken vóór 17–18 september 2026 op ongebruikelijke beheerdersacties, wijzigingen in model- of agentconfiguratie en afwijkende toegang via serviceaccounts, en vraag Microsoft rechtstreeks of cross-tenant toegang technisch mogelijk was.

Het advies zelf vermeldt noch de melder, noch de datum waarop het lek werd gemeld, en het NVD-record evenmin, dus het interval tussen Marots melding en de oplossing wordt door niets in dit dossier vastgesteld.

De golf eromheen

CVE-2026-85889 was geen geïsoleerde oplossing. De Security Update Guide van Microsoft vermeldt 18 kwetsbaarheden die op 17 september 2026 zijn gepubliceerd, en de samenstelling van de groep is het informatievere gegeven. Alle 18 zijn Kritiek. Elk ervan is een clouddienst. Elk ervan staat geregistreerd als niet misbruikt en als zijnde geen klantactie vereisend. Zeven van de 18 scoren 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, twee in Azure Logic Apps, Azure Arc en Microsoft Container Registry.

Het contrast binnen de golf is belangrijk om de kop te begrijpen. CVE-2026-85885, de command-injectie in Microsoft 365 Copilot met een score van 9.9, is geclassificeerd als PR:L — rechten vereist — en de beschrijving van Microsoft zegt "een geautoriseerde aanvaller". CVE-2026-85889 is PR:N en zegt "een ongeautoriseerde aanvaller". Twee kwetsbaarheden in dezelfde release, twee Critical-scores, en slechts één daarvan vereiste dat de aanvaller al een credential had voordat hij begon. De derde AI-bevinding in de groep, CVE-2026-85917, is een server-side request forgery in Azure AI Foundry met 7.5, beoordeeld met ongewijzigde scope en impact beperkt tot vertrouwelijkheid.

Wat is er veranderd, en wat een klant nog kan vasthouden

Wat veranderd is, is het lek: Microsoft meldt het als volledig gemitigeerd, en geen enkele klant heeft iets te implementeren. Wat niet veranderd is, is het spoor dat een klant kan bijhouden. De aanbevelingen van de CSA lopen van het onmiddellijke tot het structurele: bevestig dat de remediëring van september 2026 de tenant heeft bereikt; bewaar en controleer activiteitenlogboeken en AI Foundry-audittrails uit de weken daarvoor; segmenteer AI Foundry-projecten per tenant en workload; pas het principe van minimale bevoegdheden toe op gebruikers, service-principals en beheerde identiteiten; beperk welke gegevens en referenties elk afzonderlijk project kan bereiken; en centraliseer waarschuwingen van AI Foundry en Microsoft Defender for Cloud.

De structurele aanbeveling ervan is de aanbeveling die verder reikt dan deze CVE: behandel beheervlakken voor cloud-AI als een afzonderlijke risicocategorie voor derden, neem de meldingsgeschiedenis van kwetsbaarheden van providers op in leveranciersbeoordelingen, en vereis contractuele meldingstermijnen en transparantie na incidenten bij gebreken in het controlevlak. Niets daarvan was nodig om CVE-2026-85889 te overleven. Het is wat de volgende zichtbaar zou maken.

Hoe het archief deze classificeert

Het record is geregistreerd als een kwetsbaarheid — een die is gevonden, niet een waarvan bekend is dat die is misbruikt. De betrouwbaarheid is gegradeerd als A, wat betekent dat het goed gedocumenteerd is en primaire bronnen overeenstemmen, en het record is niet gemarkeerd als betwist. Het veld echte schade is onwaar, en de betrokkenheid van AI is bevestigd: het getroffen product is een generatieve-AI-applicatie en agentplatform, niet een algemene clouddienst die toevallig in de buurt van een dergelijke dienst zit. De datum is vastgelegd op dagprecisie, 17 september 2026, zonder einddatum, omdat dit een enkel tijdstip is en geen campagne.

Het enige wat de eigen velden van het archief niet kunnen overbrengen, is hoeveel van het verhaal een afwezigheid is. Er is een authenticatiekwetsbaarheid met de hoogste ernst in een platform dat zakelijke klanten gebruiken om agenten te bouwen en te draaien. Er is een oplossing. Er is een naam van een onderzoeker. Wat er niet is — nergens in het advies, de NVD-registratie, de CSA-notitie of de vaktbladen — is een verklaring dat iemand de kwetsbaarheid heeft uitgeprobeerd, een verklaring hoe lang deze bereikbaar was, of een manier voor een klant om het zelf te controleren.