Azure AI Foundry позволял повысить привилегии без учётных данных — CVE-2026-85889, CVSS 10.0

17 сентября 2026 года Microsoft сообщила, что Azure AI Foundry — корпоративная платформа для создания, развертывания и управления приложениями и агентами генеративного ИИ, также продвигаемая под названием Microsoft Foundry — содержала уязвимость, связанную с отсутствием аутентификации, с оценкой CVSS 10.0, максимальной. Отслеживается как CVE-2026-85889 и классифицирована как CWE-306 — отсутствие аутентификации для критически важной функции; она позволяла неавторизованному злоумышленнику получить доступ к серверной функции по сети и повысить привилегии без учетных данных и без участия пользователя, согласно бюллетеню Microsoft. Платформа размещена в облаке, поэтому исправление было развернуто в собственной инфраструктуре Microsoft, и клиентам не нужно было ничего устанавливать; Microsoft сообщает, что не нашла доказательств того, что уязвимость когда-либо эксплуатировалась, и ущерб по ней не зафиксирован. Этот инцидент — одна из записей в архиве инцидентов ИИ Orca, где хранится полная запись с указанными источниками, оценкой серьезности, оценкой достоверности и отметкой об оспаривании.

Что на самом деле говорится в рекомендации

Рекомендация Microsoft Security Response Center короткая, и почти все опубликованные подробности об этой уязвимости взяты из неё. Её описание полностью гласит: «Отсутствие аутентификации для критически важной функции в Azure AI Foundry позволяет неавторизованному злоумышленнику повысить привилегии по сети». Уязвимых версий нет, потому что версий нет: в записи MSRC для CVE-2026-85889 последняя версия программного обеспечения указана как N/A, и нет ссылок на обновления или загрузку, что является обычной формой рекомендации для службы, которой управляет сама Microsoft.

MSRC оценивает эту уязвимость как критическую с базовой оценкой 10,0 по вектору CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — доступна по сети, низкая сложность атаки, привилегии не требуются, взаимодействие с пользователем отсутствует, область действия изменена, высокое воздействие на конфиденциальность, целостность и доступность. Запись в NVD, опубликованная 17 сентября 2026 г. и последний раз изменённая 25 сентября, содержит то же описание и относит слабость к CWE-306. В полях «Exploited» и «Publicly Disclosed» Microsoft указывает «Нет» и «Нет».

Уязвимость обнаружил Rémy Marot, которого указывают в материале The Hacker News о раскрытии уязвимости и называют в аналитической записке Cloud Security Alliance как ответственно сообщившего о ней. Эта записка, опубликованная 19 сентября 2026 года, — единственный источник в материалах, который рассматривает то, что уведомление оставляет за скобками, и трактует этот пробел как главное в истории.

10.0 и 9.8 — единственный показатель, по которому два оценщика расходятся.

Цифра в заголовке не является единогласной. NVD показывает две оценки CVSS 3.1 для CVE-2026-85889 от двух разных оценщиков, и они различаются ровно по одному метрическому показателю. Оценка Microsoft, внесённая как вторичный источник, составляет 10.0 по AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Собственная первичная оценка NVD — 9.8 по AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Все компоненты идентичны, кроме Scope.

Microsoft ставит для Scope значение Changed; в первичной оценке NVD оно остается Unchanged. В этом вся разница, и это не педантизм. В CVSS 3.1 измененный Scope означает, что уязвимый компонент и затронутый компонент относятся к разным субъектам безопасности — что точка опоры атакующего и то, что он в итоге контролирует, находятся по разные стороны границы. Оценка 10.0 — это утверждение, что суть уязвимости именно в пересечении этой границы. Оценка NVD 9.8 делает то же утверждение о воздействии, причем конфиденциальность, целостность и доступность все оцениваются как High, но не утверждает пересечения границы. Обе оценки относятся к уровню Critical. Архив не рассматривает это расхождение как спор о том, существовала ли уязвимость или была ли она исправлена, и читатель не должен.

Третий оценщик пошёл дальше в оценке последствий, не меняя балл. CISA в своей записи решения SSVC по CVE, датированной 18 сентября 2026 года, устанавливает эксплуатацию как «none», автоматизируемость как «yes», а техническое воздействие как «total». Среднее значение — то, над чем стоит задуматься: уязвимость, не требующая аутентификации, низкой сложности и изменяющая область действия, по построению автоматизируема — ничто в ней не требует, чтобы человек адаптировал её под каждую цель.

Исправление, которое не смог установить ни один клиент

Azure AI Foundry — это облачная служба, поэтому CVE-2026-85889 никогда не имела исправления, адресованного конкретному клиенту. В рекомендациях MSRC нет ни статьи с обновлением, ни обходного решения, а в собственном FAQ дан ответ на очевидный вопрос: «Эта уязвимость уже полностью устранена Microsoft. Пользователям этой службы не требуется предпринимать каких-либо действий. Цель этого CVE — обеспечить дополнительную прозрачность».

В заметке Cloud Security Alliance описывается та же схема: исправление было применено к инфраструктуре Microsoft, и «клиентам не нужно было устанавливать патч и не требовалось предпринимать каких-либо действий». The Hacker News сообщает, что Microsoft заявила о полном устранении облачной проблемы и об отсутствии необходимости каких-либо действий со стороны клиентов. В собственной записи Microsoft значение «customer action required» указано как false. Что касается сроков, MSRC датирует своё уведомление 17 сентября 2026 г.; в заметке CSA уведомление и завершённое исправление отнесены к 17–18 сентября 2026 г.

Именно к этому постоянно возвращается примечание CSA, и это не критика инженерных решений Microsoft. Исправление на стороне сервера — быстрое, полное и бесплатное для клиента. Кроме того, оно незаметно со стороны клиента.

О чём Microsoft умолчала

Согласно Cloud Security Alliance, в рекомендательном документе не указано, когда была внедрена уязвимость, а в примечании не даётся количественной оценки окна экспозиции. Microsoft также не раскрывает, каким образом можно было достичь уязвимой функции, какой тип учётных данных при этом задействовался, требовались ли для этого идентификаторы, специфичные для арендатора, и был ли возможен доступ между арендаторами. Это не пробелы в отчётности; это вопросы, которые, как прямо указано в примечании CSA, Microsoft оставила открытыми, и в нём вопрос о доступе между арендаторами назван одним из вопросов, значимых для оценки рисков любого клиента.

Вывод, который делает записка, узок и заслуживает того, чтобы изложить его без прикрас: если эксплуатация происходит полностью на стороне сервера, она может быть вообще не видна со стороны клиента. У администратора тенанта могло не оказаться ни одной строки журнала, которую можно было бы изучить, даже если бы их проекты зондировались. Рекомендуемые CSA меры реагирования носят ретроспективный характер: изучите журналы активности Azure и журналы аудита AI Foundry за недели, предшествовавшие 17–18 сентября 2026 года, на предмет необычных административных действий, изменений конфигурации моделей или агентов и аномального доступа сервисных учётных записей, а также напрямую спросите Microsoft, был ли межтенантный доступ технически возможен.

В самом уведомлении не указаны ни автор сообщения об уязвимости, ни дата, когда о ней сообщили, и в записи NVD их тоже нет, поэтому интервал между сообщением Маро и исправлением ничем в этой записи не устанавливается.

Волна вокруг него

CVE-2026-85889 не был единичным исправлением. В руководстве по безопасности Microsoft перечислены 18 уязвимостей, выпущенных 17 сентября 2026 года, и более информативным фактом является состав этой группы. Все 18 — критически важные. Каждая относится к облачному сервису. По каждой указано, что она не эксплуатировалась и не требует действий со стороны клиентов. Семь из 18 имеют оценку 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, две в Azure Logic Apps, Azure Arc и Microsoft Container Registry.

Контраст внутри этой волны важен при чтении заголовка. CVE-2026-85885, внедрение команд в Microsoft 365 Copilot с оценкой 9.9, имеет рейтинг PR:L — требуются привилегии — и в описании Microsoft сказано: «авторизованный атакующий». CVE-2026-85889 имеет PR:N и описывается как «неавторизованный атакующий». Две уязвимости в одном и том же релизе, две оценки Critical, и только в одной из них атакующему требовалось иметь учётные данные до начала атаки. Третья находка в области ИИ в этой группе, CVE-2026-85917, — это подделка запросов на стороне сервера (SSRF) в Azure AI Foundry с оценкой 7.5, оценённая при неизменной области действия и воздействии, ограниченном конфиденциальностью.

Что изменилось и что клиент по-прежнему может удерживать

Изменилась сама уязвимость: Microsoft сообщает, что она полностью устранена, и клиентам ничего не нужно развертывать. Не изменилось то, какие записи может хранить клиент. Рекомендации CSA охватывают как неотложные меры, так и структурные: убедитесь, что исправление от сентября 2026 года дошло до тенанта; сохраните и просмотрите журналы активности и журналы аудита AI Foundry за недели до него; сегментируйте проекты AI Foundry по тенантам и рабочим нагрузкам; применяйте принцип наименьших привилегий к пользователям, субъектам-службам и управляемым удостоверениям; ограничьте данные и учетные данные, к которым может получить доступ любой отдельный проект; и централизуйте оповещения AI Foundry и Microsoft Defender for Cloud.

Её структурная рекомендация — та, что выходит за рамки этой CVE: рассматривать плоскости управления облачным ИИ как отдельную категорию рисков третьих сторон, включать историю раскрытия уязвимостей провайдерами в оценку поставщиков и требовать закреплённых в договоре сроков уведомления и прозрачности после инцидентов для недостатков плоскостей управления. Ничего из этого не требуется, чтобы пережить CVE-2026-85889. Именно это позволило бы увидеть следующую.

Как архив классифицирует этот случай

Запись зарегистрирована как уязвимость — обнаруженная, а не та, в отношении которой известно, что её эксплуатировали. Её достоверность оценена как A, что означает хорошую документированность при согласии первичных источников, и запись не помечена как оспариваемая. Поле real-harm имеет значение false, а причастность ИИ подтверждена: затронутый продукт — это платформа приложений и агентов генеративного ИИ, а не облачный сервис общего назначения, который просто оказался рядом. Дата указана с точностью до дня — 17 сентября 2026 г., без даты окончания, поскольку это единичный момент времени, а не кампания.

Единственное, что не способны передать собственные поля архива, — это то, какую большую часть этой истории составляет отсутствие информации. На платформе, которую корпоративные клиенты используют для создания и запуска агентов, есть уязвимость аутентификации максимальной критичности. Есть исправление. Есть имя исследователя. Чего нет — нигде: ни в уведомлении, ни в записи NVD, ни в заметке CSA, ни в отраслевых СМИ, — так это утверждения, что кто-то пытался использовать уязвимость, утверждения о том, как долго она была доступна, или способа для клиента проверить это самостоятельно.