Azure AI Foundry krävde inga autentiseringsuppgifter för att eskalera privilegier — CVE-2026-85889, CVSS 10.0

Microsoft meddelade den 17 september 2026 att Azure AI Foundry – företagsplattformen för att bygga, distribuera och hantera generativa AI-applikationer och agenter, som också marknadsförs som Microsoft Foundry – hade en brist med saknad autentisering som graderades till CVSS 10.0, det maximala. Den spårades som CVE-2026-85889 och klassades som CWE-306, saknad autentisering för en kritisk funktion, och bristen gjorde att en obehörig angripare kunde nå en backend-funktion över nätverket och eskalera privilegier utan autentiseringsuppgifter och utan användarinteraktion, enligt Microsofts säkerhetsbulletin. Plattformen finns i molnet, så åtgärden gjordes i Microsofts egen infrastruktur och kunderna behövde inte installera något; Microsoft uppger att man inte hittade några bevis för att bristen någonsin utnyttjats, och ingen skada har registrerats till följd av den. Den här incidenten är en post i the Orca AI Incident Archive, som innehåller den fullständiga dokumentationen med sina citerade källor, allvarlighetsgrad, tillförlitlighetsbedömning och flagga för omtvistad status.

Vad rådgivningen faktiskt säger

Rådgivningen från Microsoft Security Response Center är kort, och nästan varje publicerad detalj om denna brist kommer från den. Beskrivningen lyder i sin helhet: "Avsaknad av autentisering för kritisk funktion i Azure AI Foundry gör det möjligt för en obehörig angripare att höja privilegier över ett nätverk." Det finns inga påverkade versioner, eftersom det inte finns några versioner: MSRC:s post för CVE-2026-85889 anger den senaste programvaruversionen som N/A och innehåller inga uppdateringslänkar eller nedladdning, vilket är den normala utformningen av en rådgivning för en tjänst som Microsoft själv driver.

MSRC klassar felet som kritiskt med en baspoäng på 10,0, enligt vektorn CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – nåbart över nätverket, låg attackkomplexitet, inga privilegier krävs, ingen användarinteraktion, ändrad omfattning och hög påverkan på konfidentialitet, integritet och tillgänglighet. NVD-posten, som publicerades den 17 september 2026 och senast ändrades den 25 september, har samma beskrivning och mappar svagheten till CWE-306. Under fälten "Exploaterad" och "Offentligt avslöjad" anger Microsoft Nej och Nej.

Sårbarheten upptäcktes av Rémy Marot, som omnämns i The Hacker News redogörelse för avslöjandet och namnges i Cloud Security Alliances forskningsnotis som den som rapporterat den ansvarsfullt. Den notisen, som publicerades den 19 september 2026, är den enda källan i materialet som undersöker vad rådgivningen utelämnar, och den behandlar luckan som själva historien.

10,0 och 9,8 – det enda måttet som de två poängsättarna är oense om

Rubriknumret är inte enhälligt. NVD visar två CVSS 3.1-poäng för CVE-2026-85889, från två olika poängsättare, och de skiljer sig med exakt ett mått. Microsofts poäng, registrerad som sekundär källa, är 10,0 på AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. NVD:s egen primära poäng är 9,8 på AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Varje komponent är identisk utom Scope.

Microsoft bedömer Scope som Changed; NVD:s primärpoäng behåller det som Unchanged. Det är hela skillnaden, och det är inte hårklyveri. I CVSS 3.1 innebär ett Changed scope att den sårbara komponenten och den påverkade komponenten är olika säkerhetsauktoriteter – att angriparens fotfäste och det som de till slut kontrollerar ligger på motsatta sidor om en gräns. Ett 10,0 är ett påstående om att det är just gränsöverskridandet som är själva syftet med felet. NVD:s 9,8 säger samma sak om påverkan, med konfidentialitet, integritet och tillgänglighet alla satta till High, utan att hävda att gränsen korsas. Båda poängen klassas som kritiska. Arkivet behandlar inte skillnaden som en tvist om huruvida sårbarheten fanns eller åtgärdades, och det bör inte en läsare heller göra.

En tredje bedömare gick längre när det gällde konsekvens utan att röra poängen. CISAs SSVC-beslutsprotokoll för CVE:n, tidsstämplat 18 september 2026, anger exploatering till "none", automatiserbarhet till "yes" och teknisk påverkan till "total". Det mellersta värdet är det som är värt att stanna upp vid: en oautentiserad, lågkomplex, scope-förändrande sårbarhet är per konstruktion automatiserbar – inget i den kräver att en människa anpassar den per mål.

Rättningen som ingen kund kunde installera

Azure AI Foundry är en värdbaserad tjänst, så CVE-2026-85889 hade aldrig någon patch med en kunds namn på. MSRC:s rådgivning innehåller ingen uppdateringsartikel och ingen tillfällig lösning, och besvarar den uppenbara frågan i sin egen FAQ: "Den här sårbarheten har redan mildrats fullt ut av Microsoft. Det finns ingen åtgärd för användare av den här tjänsten att vidta. Syftet med den här CVE:n är att ge ytterligare transparens."

Cloud Security Alliance-noten beskriver samma arrangemang: åtgärden tillämpades på Microsofts infrastruktur och "kunderna hade ingen patch att installera och behövde inte vidta några åtgärder". The Hacker News rapporterar att Microsoft uppgav att företaget hade åtgärdat molnproblemet fullt ut och att inga kundåtgärder krävdes. Microsofts egen dokumentation anger "customer action required" som falskt. Vad gäller tidpunkten daterar MSRC sin rådgivning till den 17 september 2026; CSA-noten placerar rådgivningen och den slutförda åtgärden mellan den 17 och 18 september 2026.

Detta är den punkt som CSA-anteckningen gång på gång återkommer till, och det är inte en kritik av Microsofts ingenjörsarbete. En åtgärd på serversidan är snabb, fullständig och kostnadsfri för kunden. Den går heller inte att observera från kundens sida.

Vad Microsoft inte sa

Enligt Cloud Security Alliance anger rådgivningen inte när sårbarheten introducerades, och noten kvantifierar inte exponeringsfönstret. Inte heller avslöjar Microsoft hur den sårbara funktionen kunde nås, vilken typ av autentiseringsuppgift som var inblandad, huruvida klientorganisationsspecifika identifierare krävdes för att träffa den, eller huruvida åtkomst mellan klientorganisationer var möjlig. Det är inte luckor i rapporteringen; det är frågor som CSA-noten uttryckligen säger att Microsoft lämnade öppna, och den pekar ut frågan om åtkomst mellan klientorganisationer som en som är relevant för varje kunds riskbedömning.

Slutsatsen som noten drar är snäv och värd att uttryckas utan förskönande omskrivningar: om exploateringen sker helt på serversidan kanske den inte alls syns från kundens sida. En klientadministratör kan ha haft inte en enda loggpost att titta på även om deras projekt hade sondats. CSA:s rekommenderade åtgärd är retrospektiv – granska Azure-aktivitetsloggar och AI Foundry-granskningsspår från veckorna före 17–18 september 2026 efter ovanliga administrativa åtgärder, ändringar i modell- eller agentkonfiguration och avvikande åtkomst via tjänstekonton, och fråga Microsoft direkt om åtkomst mellan klientorganisationer var tekniskt möjlig.

Själva säkerhetsmeddelandet anger varken rapportören eller datumet då bristen rapporterades, och det gör inte heller NVD-posten, så intervallet mellan Marots rapport och rättningen fastställs inte av något i den här posten.

Vågen runt det

CVE-2026-85889 var ingen isolerad åtgärd. Microsofts guide för säkerhetsuppdateringar listar 18 sårbarheter som släpptes den 17 september 2026, och gruppens sammansättning är det mer upplysande faktumet. Alla 18 är kritiska. Var och en är en molntjänst. Var och en är registrerad som ej utnyttjad och som att den inte kräver någon åtgärd från kundens sida. Sju av de 18 får betyget 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, två i Azure Logic Apps, Azure Arc och Microsoft Container Registry.

Kontrasten i vågen är viktig för tolkningen av rubriken. CVE-2026-85885, kommandoinjektionen i Microsoft 365 Copilot på 9,9, har betyget PR:L – privileges required – och Microsofts beskrivning anger "en auktoriserad angripare". CVE-2026-85889 är PR:N och anger "en oauktoriserad angripare". Två sårbarheter i samma version, två kritiska poäng, och bara en av dem krävde att angriparen hade en autentiseringsuppgift innan attacken inleddes. Det tredje AI-fyndet i gruppen, CVE-2026-85917, är en server-side request forgery i Azure AI Foundry på 7,5, poängsatt med oförändrat scope och påverkan begränsad till konfidentialitet.

Vad som har förändrats, och vad en kund fortfarande kan hålla kvar

Det som förändrades är sårbarheten: Microsoft rapporterar att den är fullt åtgärdad, och ingen kund har något att distribuera. Det som inte förändrades är den dokumentation en kund kan behålla. CSAs rekommendationer sträcker sig från det omedelbara till det strukturella – bekräfta att åtgärden från september 2026 nådde tenanten; bevara och granska aktivitetsloggar och AI Foundry-revisionsspår från veckorna före den; segmentera AI Foundry-projekt efter tenant och arbetsbelastning; tillämpa minsta behörighet för användare, tjänstens huvudnamn och hanterade identiteter; begränsa vilka data och autentiseringsuppgifter ett enskilt projekt kan nå; och centralisera larm från AI Foundry och Microsoft Defender for Cloud.

Dess strukturella rekommendation är den som generaliserar bortom denna CVE: behandla molnbaserade AI-hanteringsplan som en separat tredjepartsriskkategori, inkludera leverantörernas historik för sårbarhetsavslöjande i leverantörsbedömningar och kräva avtalsenliga tidsramar för avisering och transparens efter incidenter för kontrollplansfel. Inget av detta krävs för att ha överlevt CVE-2026-85889. Det är vad som skulle göra nästa synlig.

Hur arkivet klassificerar den här

Posten är registrerad som en sårbarhet – en som har upptäckts, inte en som är känd för att ha utnyttjats. Dess konfidensgrad är A, vilket innebär att den är väl dokumenterad med primärkällor som stämmer överens, och posten är inte markerad som omtvistad. Fältet för verklig skada är satt till false, och dess AI-koppling är bekräftad: den berörda produkten är en generativ AI-applikation och agentplattform, inte en allmän molntjänst som råkar ligga nära en sådan. Dess datum är registrerat med dagprecision, 17 september 2026, utan slutdatum, eftersom detta är en enskild tidpunkt snarare än en kampanj.

Det enda som arkivets egna fält inte kan förmedla är hur stor del av historien som utgörs av frånvaro. Det finns ett autentiseringsfel av högsta allvarlighetsgrad i en plattform som företagskunder använder för att bygga och köra agenter. Det finns en åtgärd. Det finns ett forskarnamn. Det som inte finns – någonstans i rådgivningen, NVD-posten, CSA-notisen eller fackpressen – är ett uttalande om att någon har försökt utnyttja felet, ett uttalande om hur länge det var nåbart, eller ett sätt för en kund att själv kontrollera det.