Azure AI Foundry não precisava de credenciais para escalar privilégios — CVE-2026-85889, CVSS 10,0

A Microsoft divulgou em 17 de setembro de 2026 que Azure AI Foundry — a plataforma empresarial para criar, implementar e gerir aplicações e agentes de IA generativa, também comercializada como Microsoft Foundry — apresentava uma falha por falta de autenticação classificada com CVSS 10,0, a pontuação máxima. Registada como CVE-2026-85889 e classificada como CWE-306, falta de autenticação para uma função crítica, permitia a um atacante não autorizado atingir uma função de back-end através da rede e elevar privilégios sem credenciais e sem interação do utilizador, segundo o aviso da Microsoft. A plataforma está alojada na cloud, pelo que a correção foi implementada na própria infraestrutura da Microsoft e os clientes não tiveram de instalar nada; a Microsoft afirma não ter encontrado indícios de que a falha alguma vez tenha sido explorada, e não há registo de danos associados. Este incidente é uma entrada em o Orca AI Incident Archive, que contém o registo completo com as suas fontes citadas, grau de severidade, avaliação de confiança e indicador de disputa.

O que o aviso realmente diz

O Microsoft Security Response Centeraviso é curto, e quase todos os detalhes publicados sobre esta falha vêm dele. Sua descrição diz, na íntegra: "Autenticação ausente para função crítica no Azure AI Foundry permite que um atacante não autorizado eleve privilégios pela rede." Não há versões afetadas, porque não há versões: o registro do MSRC para a CVE-2026-85889 lista a versão mais recente do software como N/A e não traz links de atualização nem download, o que é o formato normal de um aviso para um serviço que a própria Microsoft opera.

A MSRC classifica a falha como Crítica, com uma pontuação base de 10,0, no vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — acessível através da rede, com baixa complexidade de ataque, sem privilégios necessários, sem interação do utilizador, âmbito alterado e impacto elevado na confidencialidade, integridade e disponibilidade. A entrada do NVD, publicada a 17 de setembro de 2026 e modificada pela última vez a 25 de setembro, apresenta a mesma descrição e associa a fraqueza à CWE-306. Nos campos «Explorado» e «Divulgado publicamente», a Microsoft regista Não e Não.

A falha foi encontrada por Rémy Marot, creditado na matéria do The Hacker News sobre a divulgação e citado na nota de pesquisa da Cloud Security Alliance como tendo relatado o problema de forma responsável. Essa nota, publicada em 19 de setembro de 2026, é a única fonte no registro que examina o que o comunicado deixa de fora, e trata a lacuna como o cerne da história.

10,0 e 9,8 — a única métrica em que os dois avaliadores discordam

O número de destaque não é unânime. O NVD mostra duas pontuações CVSS 3.1 para CVE-2026-85889, de dois avaliadores diferentes, e elas diferem em exatamente uma métrica. A pontuação da Microsoft, registrada como fonte secundária, é 10.0 em AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. A pontuação primária do próprio NVD é 9.8 em AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Todos os componentes são idênticos, exceto Scope.

A Microsoft pontua o Escopo como Alterado; a pontuação primária da NVD o mantém Inalterado. Essa é toda a diferença, e não se trata de pedantismo. No CVSS 3.1, um escopo Alterado significa que o componente vulnerável e o componente impactado são autoridades de segurança diferentes — que o ponto de apoio do atacante e aquilo que ele acaba controlando ficam em lados opostos de uma fronteira. Uma pontuação 10,0 afirma que cruzar essa fronteira é o propósito da falha. A pontuação 9,8 da NVD faz a mesma declaração sobre impacto, confidencialidade, integridade e disponibilidade, todos Altos, sem afirmar a travessia da fronteira. Ambas as pontuações são Críticas. O arquivo não trata a lacuna como uma disputa sobre se a falha existiu ou foi corrigida, e o leitor também não deveria.

Um terceiro avaliador foi mais longe quanto à consequência sem alterar a pontuação. CISAO registro de decisão SSVC da CISA para o CVE, com data de 18 de setembro de 2026, define a exploração como "none", a automatabilidade como "yes" e o impacto técnico como "total". O valor intermediário é o que merece atenção: uma falha não autenticada, de baixa complexidade e que altera o escopo é, por construção, automatizável — nada nela exige que um humano a adapte por alvo.

A correção que nenhum cliente conseguia instalar

O Azure AI Foundry é um serviço alojado, pelo que a CVE-2026-85889 nunca teve um patch com o nome de um cliente. O aviso do MSRC não inclui qualquer artigo de atualização nem solução alternativas e responde à pergunta óbvia nas suas próprias FAQ: "Esta vulnerabilidade já foi totalmente mitigada pela Microsoft. Não há qualquer ação a tomar pelos utilizadores deste serviço. O objetivo desta CVE é proporcionar uma maior transparência."

A nota da Cloud Security Alliance descreve o mesmo arranjo: a correção foi aplicada à infraestrutura da Microsoft, e "os clientes não tinham patch para instalar nem ação a tomar". O The Hacker News relata que a Microsoft afirmou ter mitigado totalmente o problema na nuvem e que nenhuma ação do cliente era necessária. O próprio registro da Microsoft marca "customer action required" como falso. Quanto ao momento, o MSRC data seu aviso em 17 de setembro de 2026; a nota da CSA situa o aviso e a conclusão da correção entre 17 e 18 de setembro de 2026.

Este é o ponto ao qual a nota da CSA sempre retorna, e não é uma crítica à engenharia da Microsoft. Uma correção do lado do servidor é rápida, completa e gratuita para o cliente. Também é inobservável do lado do cliente.

O que a Microsoft não disse

Segundo a Cloud Security Alliance, o aviso consultivo não informa quando a vulnerabilidade foi introduzida, e a nota não quantifica a janela de exposição. A Microsoft também não divulga como a função vulnerável era acessível, qual tipo de credencial estava envolvido, se eram necessários identificadores específicos do tenant para explorá-la, ou se o acesso entre tenants era possível. Esses não são lapsos no relato; são questões que a nota da CSA afirma explicitamente que a Microsoft deixou em aberto, e ela nomeia a questão entre tenants como relevante para a avaliação de risco de qualquer cliente.

A consequência que a nota extrai é restrita e vale a pena enunciá-la sem adornos: se a exploração ocorrer inteiramente no lado do servidor, ela pode não ser visível de forma alguma do lado do cliente. Um administrador de locatário pode não ter tido nenhuma linha de log para consultar mesmo que seus projetos tenham sido sondados. A resposta recomendada pela CSA é retrospectiva — examinar os logs de atividade do Azure e as trilhas de auditoria do AI Foundry das semanas anteriores a 17–18 de setembro de 2026 em busca de ações administrativas incomuns, alterações de configuração de modelos ou agentes e acesso anômalo de contas de serviço, e perguntar diretamente à Microsoft se o acesso entre locatários era tecnicamente possível.

O próprio aviso não nomeia nem o repórter nem a data em que a falha foi relatada, e o registro do NVD também não, de modo que o intervalo entre o relatório de Marot e a correção não é estabelecido por nada neste registro.

A onda ao seu redor

CVE-2026-85889 não foi uma correção isolada. O guia de atualizações de segurança da Microsoft lista 18 vulnerabilidades divulgadas em 17 de setembro de 2026, e o formato do grupo é o fato mais informativo. Todas as 18 são Críticas. Todas são serviços de nuvem. Todas estão registradas como não exploradas e como não exigindo ação do cliente. Sete das 18 têm pontuação 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, duas no Azure Logic Apps, Azure Arc e Microsoft Container Registry.

O contraste dentro da onda importa para a leitura da manchete. CVE-2026-85885, a injeção de comando no Microsoft 365 Copilot com 9,9, é classificado como PR:L — privilégios necessários — e a descrição da Microsoft diz "um atacante autorizado". O CVE-2026-85889 é PR:N e diz "um atacante não autorizado". Duas falhas na mesma versão, duas pontuações Critical, e apenas uma delas exigia que o atacante tivesse uma credencial antes de começar. A terceira descoberta de IA do grupo, CVE-2026-85917, é uma falsificação de solicitação do lado do servidor no Azure AI Foundry com 7,5, classificada com escopo inalterado e impacto restrito à confidencialidade.

O que mudou, e o que um cliente ainda pode manter

O que mudou foi a falha: a Microsoft a reporta como totalmente mitigada, e nenhum cliente tem algo para implementar. O que não mudou é o registro que um cliente pode manter. As recomendações da CSA vão do imediato ao estrutural — confirme se a remediação de setembro de 2026 chegou ao tenant; preserve e revise os logs de atividade e as trilhas de auditoria do AI Foundry das semanas anteriores; segmente projetos do AI Foundry por tenant e carga de trabalho; aplique privilégio mínimo a usuários, entidades de serviço e identidades gerenciadas; limite os dados e as credenciais que qualquer projeto individual pode alcançar; e centralize os alertas do AI Foundry e do Microsoft Defender for Cloud.

A sua recomendação estrutural é a que vai além desta CVE: tratar os planos de gestão de IA na nuvem como uma categoria distinta de risco de terceiros, incluir o histórico de divulgação de vulnerabilidades dos fornecedores nas avaliações de fornecedores e exigir prazos contratuais de notificação e transparência pós-incidente para falhas no plano de controlo. Nada disso é necessário para se ter sobrevivido à CVE-2026-85889. É o que tornaria a próxima visível.

Como o arquivo classifica este

O registro está arquivado como uma vulnerabilidade — uma que foi descoberta, não uma que se saiba ter sido explorada. Sua confiança é classificada como A, o que significa bem documentada, com fontes primárias concordantes, e o registro não está marcado como contestado. Seu campo de dano real é falso, e seu envolvimento com IA está confirmado: o produto afetado é uma aplicação de IA generativa e uma plataforma de agentes, não um serviço de nuvem de uso geral que por acaso fica próximo de uma. Sua data está registrada com precisão de dia, 17 de setembro de 2026, sem data de término, porque este é um ponto único no tempo e não uma campanha.

A única coisa que os próprios campos do arquivo não conseguem transmitir é o quanto a história é feita de uma ausência. Há uma falha de autenticação de gravidade máxima em uma plataforma que clientes corporativos usam para criar e executar agentes. Há uma correção. Há o nome de um pesquisador. O que não há — em lugar nenhum no comunicado de segurança, no registro do NVD, na nota da CSA ou na imprensa especializada — é uma declaração de que alguém tentou explorar a falha, uma declaração de por quanto tempo ela permaneceu acessível, ou uma forma de o cliente verificar por conta própria.