Azure AI Foundry ไม่จำเป็นต้องใช้ข้อมูลรับรองในการยกระดับสิทธิ์ — CVE-2026-85889, CVSS 10.0

Microsoft เปิดเผยเมื่อวันที่ 17 กันยายน 2026 ว่า Azure AI Foundry — แพลตฟอร์มระดับองค์กรสำหรับการสร้าง การปรับใช้ และการจัดการแอปพลิเคชันและเอเจนต์ AI เชิงสร้างสรรค์ ซึ่งวางตลาดในชื่อ Microsoft Foundry — มีช่องโหว่ด้านการยืนยันตัวตนที่ขาดหายไป ซึ่งได้รับคะแนน CVSS 10.0 ซึ่งเป็นคะแนนสูงสุด ถูกติดตามเป็น CVE-2026-85889 และจัดประเภทเป็น CWE-306 คือการไม่มีการยืนยันตัวตนสำหรับฟังก์ชันสำคัญ ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถเข้าถึงฟังก์ชันแบ็กเอนด์ผ่านเครือข่ายและยกระดับสิทธิ์ได้โดยไม่ต้องมีข้อมูลรับรองและไม่ต้องมีการโต้ตอบจากผู้ใช้ ตามคำแนะนำด้านความปลอดภัยของ Microsoft แพลตฟอร์มนี้โฮสต์บนคลาวด์ ดังนั้นการแก้ไขจึงดำเนินการบนโครงสร้างพื้นฐานของ Microsoft เอง และลูกค้าไม่ต้องติดตั้งสิ่งใด Microsoft กล่าวว่าไม่พบหลักฐานว่าช่องโหว่นี้เคยถูกใช้ประโยชน์ และไม่มีการบันทึกความเสียหายใด ๆ จากช่องโหว่นี้ เหตุการณ์นี้เป็นหนึ่งในรายการของ the Orca AI Incident Archive ซึ่งเก็บบันทึกฉบับเต็มพร้อมแหล่งอ้างอิงที่อ้างถึง ระดับความรุนแรง การประเมินความเชื่อมั่น และสถานะข้อโต้แย้ง

สิ่งที่คำแนะนำนั้นระบุไว้จริง ๆ

คำแนะนำของMicrosoft Security Response Centerนั้นสั้น และรายละเอียดเกือบทั้งหมดที่เผยแพร่เกี่ยวกับข้อบกพร่องนี้อ้างอิงมาจากคำแนะนำดังกล่าว คำอธิบายระบุไว้เต็มว่า “การขาดการรับรองความถูกต้องสำหรับฟังก์ชันสำคัญใน Azure AI Foundry ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถยกระดับสิทธิ์ผ่านเครือข่ายได้” ไม่มีเวอร์ชันที่ได้รับผลกระทบ เพราะไม่มีเวอร์ชัน: บันทึกของ MSRC สำหรับ CVE-2026-85889 ระบุซอฟต์แวร์รุ่นล่าสุดเป็น N/A และไม่มีลิงก์อัปเดตหรือดาวน์โหลด ซึ่งเป็นรูปแบบปกติของคำแนะนำสำหรับบริการที่ Microsoft บริหารจัดการเอง

MSRC ให้คะแนนช่องโหว่นี้เป็นระดับ Critical ด้วยคะแนนฐาน 10.0 บนเวกเตอร์ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — เข้าถึงได้ผ่านเครือข่าย ความซับซ้อนในการโจมตีต่ำ ไม่ต้องมีสิทธิ์ ไม่ต้องมีการโต้ตอบจากผู้ใช้ ขอบเขตเปลี่ยนไป และส่งผลกระทบสูงต่อความลับ ความสมบูรณ์ และความพร้อมใช้งาน รายการใน NVD ซึ่งเผยแพร่เมื่อวันที่ 17 กันยายน 2026 และแก้ไขล่าสุดเมื่อวันที่ 25 กันยายน มีคำอธิบายเดียวกัน และแมปจุดอ่อนนี้ไปยัง CWE-306 ภายใต้ฟิลด์ “Exploited” และ “Publicly Disclosed” Microsoft บันทึกเป็น No และ No

ช่องโหว่นี้ถูกค้นพบโดยRémy Marot โดยได้รับเครดิตในThe Hacker News ซึ่งเป็นบทความเกี่ยวกับการเปิดเผยข้อมูล และได้รับการระบุชื่อในบันทึกการวิจัยของCloud Security Alliance ว่าได้รายงานอย่างรับผิดชอบ บันทึกดังกล่าวซึ่งเผยแพร่เมื่อวันที่ 19 กันยายน 2026 เป็นแหล่งเดียวในบันทึกเหตุการณ์ที่ตรวจสอบสิ่งที่ประกาศคำเตือนไม่ได้ระบุไว้ และถือว่าช่องว่างนั้นเป็นเนื้อหาหลักของเรื่อง

10.0 และ 9.8 — ตัวชี้วัดเดียวที่ผู้ให้คะแนนทั้งสองไม่ตรงกัน

ตัวเลขพาดหัวยังไม่เป็นเอกฉันท์ NVD แสดงคะแนน CVSS 3.1 สองคะแนนสำหรับ CVE-2026-85889 จากผู้ให้คะแนนสองรายที่แตกต่างกัน และคะแนนทั้งสองแตกต่างกันเพียงหนึ่งเมตริกพอดี คะแนนของ Microsoft ซึ่งบันทึกไว้ในฐานะแหล่งข้อมูลทุติยภูมิ คือ 10.0 บน AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H ส่วนคะแนนหลักของ NVD เองคือ 9.8 บน AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ทุกองค์ประกอบเหมือนกันทั้งหมดยกเว้น Scope

Microsoft ให้คะแนน Scope เป็น Changed ขณะที่คะแนนหลักของ NVD ยังคงเป็น Unchanged นั่นคือความแตกต่างทั้งหมด และไม่ใช่การจับผิดเรื่องเล็ก ๆ น้อย ๆ ใน CVSS 3.1 ค่า Scope แบบ Changed หมายความว่าองค์ประกอบที่มีช่องโหว่กับองค์ประกอบที่ได้รับผลกระทบเป็นหน่วยงานด้านความมั่นคงที่แตกต่างกัน กล่าวคือ ฐานที่มั่นของผู้โจมตีกับสิ่งที่พวกเขาควบคุมได้ในท้ายที่สุดนั้นตั้งอยู่คนละฟากของเส้นแบ่งเขต คะแนน 10.0 คือการยืนยันว่าการข้ามเส้นแบ่งเขตนั้นคือจุดประสงค์ของช่องโหว่นี้ ส่วนคะแนน 9.8 ของ NVD กล่าวถึงผลกระทบ ความลับ ความสมบูรณ์ และความพร้อมใช้งานในระดับ High ทั้งหมด โดยไม่ยืนยันเรื่องการข้ามเส้นแบ่งเขต ทั้งสองคะแนนอยู่ในระดับ Critical คลังข้อมูลไม่ได้มองช่องว่างนี้ว่าเป็นข้อพิพาทเกี่ยวกับว่าช่องโหว่นั้นมีอยู่จริงหรือได้รับการแก้ไขแล้วหรือไม่ และผู้อ่านก็ไม่ควรจะมองเช่นนั้นเช่นกัน

ผู้ประเมินรายที่สามไปไกลกว่าในแง่ผลกระทบโดยไม่แตะคะแนน CISAมีบันทึกการตัดสินใจ SSVC สำหรับ CVE นี้ ซึ่งประทับเวลา 18 กันยายน 2026 กำหนดค่าการใช้ประโยชน์เป็น "none" ความสามารถในการทำงานอัตโนมัติเป็น "yes" และผลกระทบทางเทคนิคเป็น "total" ค่ากลางคือค่าที่ควรหยุดพิจารณา: ช่องโหว่ที่ไม่ต้องยืนยันตัวตน มีความซับซ้อนต่ำ และเปลี่ยนขอบเขตได้ ย่อมสามารถทำงานอัตโนมัติได้โดยธรรมชาติ — ไม่มีสิ่งใดในช่องโหว่นี้ที่ต้องให้มนุษย์ปรับให้เข้ากับแต่ละเป้าหมาย

แพตช์แก้ไขที่ไม่มีลูกค้ารายใดติดตั้งได้

Azure AI Foundry เป็นบริการแบบโฮสต์ ดังนั้น CVE-2026-85889 จึงไม่เคยมีแพตช์ที่ระบุชื่อลูกค้าไว้เลย คำแนะนำของ MSRC ไม่มีบทความอัปเดตและไม่มีวิธีเลี่ยงชั่วคราว และได้ตอบคำถามที่เห็นได้ชัดใน FAQ ของตนเองว่า "ช่องโหว่นี้ได้รับการบรรเทาผลกระทบอย่างเต็มที่โดย Microsoft แล้ว ผู้ใช้บริการนี้ไม่จำเป็นต้องดำเนินการใด ๆ จุดประสงค์ของ CVE นี้คือเพื่อให้เกิดความโปร่งใสเพิ่มเติม"

บันทึกของ Cloud Security Alliance อธิบายรูปแบบเดียวกันว่า การแก้ไขถูกนำไปใช้กับโครงสร้างพื้นฐานของ Microsoft และ "ลูกค้าไม่มีการแพตช์ให้ติดตั้งและไม่ต้องดำเนินการใด ๆ" The Hacker News รายงานว่า Microsoft กล่าวว่าได้บรรเทาปัญหาคลาวด์อย่างสมบูรณ์แล้ว และไม่จำเป็นต้องให้ลูกค้าดำเนินการใด ๆ บันทึกของ Microsoft เองระบุว่า "customer action required" เป็นเท็จ ในเรื่องกำหนดเวลา MSRC ลงวันที่คำแนะนำของตนเป็น 17 กันยายน 2026 ขณะที่บันทึกของ CSA ระบุว่าคำแนะนำและการแก้ไขที่เสร็จสมบูรณ์อยู่ในช่วง 17–18 กันยายน 2026

นี่คือประเด็นที่บันทึกของ CSA กลับมาพูดถึงซ้ำแล้วซ้ำเล่า และไม่ใช่การวิจารณ์งานวิศวกรรมของ Microsoft การแก้ไขฝั่งเซิร์ฟเวอร์นั้นรวดเร็ว ครบถ้วน และไม่มีค่าใช้จ่ายสำหรับลูกค้า อีกทั้งยังไม่สามารถสังเกตเห็นได้จากฝั่งลูกค้า

สิ่งที่ Microsoft ไม่ได้บอก

ตามที่ Cloud Security Alliance ระบุ คำแนะนำดังกล่าวไม่ได้ระบุว่าช่องโหว่นั้นถูกนำเข้ามาเมื่อใด และบันทึกดังกล่าวไม่ได้ระบุขอบเขตช่วงเวลาที่ได้รับผลกระทบจากช่องโหว่ นอกจากนี้ Microsoft ยังไม่เปิดเผยว่าฟังก์ชันที่มีช่องโหว่นั้นเข้าถึงได้อย่างไร ใช้ข้อมูลรับรองประเภทใด จำเป็นต้องใช้ตัวระบุเฉพาะของผู้เช่าเพื่อโจมตีหรือไม่ หรือสามารถเข้าถึงข้ามผู้เช่าได้หรือไม่ สิ่งเหล่านี้ไม่ใช่ช่องว่างในการรายงาน แต่เป็นคำถามที่บันทึกของ CSA ระบุชัดเจนว่า Microsoft ยังไม่ได้ตอบ และบันทึกดังกล่าวได้ระบุคำถามเรื่องการเข้าถึงข้ามผู้เช่าว่าเป็นคำถามหนึ่งที่เกี่ยวข้องกับการประเมินความเสี่ยงของลูกค้ารายใดก็ตาม

ผลกระทบที่บันทึกนี้ชี้ให้เห็นนั้นแคบและควรกล่าวอย่างตรงไปตรงมาโดยไม่ต้อง embellishment: หากการโจมตีเกิดขึ้นฝั่งเซิร์ฟเวอร์ทั้งหมด อาจไม่ปรากฏให้เห็นจากฝั่งลูกค้าเลยก็ได้ ผู้ดูแล tenant อาจไม่มีบรรทัดบันทึกใด ๆ ให้ดูเลยด้วยซ้ำ แม้โปรเจกต์ของตนจะถูกตรวจสอบก็ตาม คำแนะนำการตอบสนองของ CSA เป็นการมองย้อนหลัง — ให้ตรวจสอบบันทึกกิจกรรมของ Azure และร่องรอยการตรวจสอบของ AI Foundry จากช่วงหลายสัปดาห์ก่อนวันที่ 17–18 กันยายน 2026 เพื่อหาการดำเนินการด้านการดูแลระบบที่ผิดปกติ การเปลี่ยนแปลงการกำหนดค่าของโมเดลหรือเอเจนต์ และการเข้าถึงบัญชีบริการที่ผิดปกติ และถาม Microsoft โดยตรงว่าการเข้าถึงข้าม tenant เป็นไปได้ในทางเทคนิคหรือไม่

ตัวประกาศเองไม่ได้ระบุทั้งชื่อผู้รายงานและวันที่ที่มีการรายงานข้อบกพร่อง และบันทึกของ NVD ก็ไม่ได้ระบุเช่นกัน ดังนั้นช่วงเวลาระหว่างรายงานของ Marot กับการแก้ไขจึงไม่ได้รับการยืนยันจากสิ่งใดในบันทึกนี้

คลื่นรอบๆ มัน

CVE-2026-85889 ไม่ใช่การแก้ไขแบบแยกเดี่ยว คู่มืออัปเดตความปลอดภัยของ Microsoft ระบุช่องโหว่ 18 รายการที่เผยแพร่เมื่อวันที่ 17 กันยายน 2026 และลักษณะของกลุ่มช่องโหว่นี้คือข้อเท็จจริงที่ให้ข้อมูลได้มากกว่า ทั้ง 18 รายการอยู่ในระดับวิกฤต ทุกรายการเป็นบริการคลาวด์ ทุกรายการถูกบันทึกว่ายังไม่ถูกโจมตี และไม่ต้องมีการดำเนินการใด ๆ จากลูกค้า เจ็ดรายการจาก 18 รายการได้คะแนน 10.0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, สองรายการใน Azure Logic Apps, Azure Arc และ Microsoft Container Registry

ความแตกต่างภายในระลอกนี้มีความสำคัญต่อการอ่านพาดหัวข่าว CVE-2026-85885ซึ่งเป็นการฉีดคำสั่งใน Microsoft 365 Copilot ที่ 9.9 ได้รับการให้คะแนนเป็น PR:L — ต้องมีสิทธิ์ — และคำอธิบายของ Microsoft ระบุว่า "ผู้โจมตีที่ได้รับอนุญาต" CVE-2026-85889 เป็น PR:N และระบุว่า "ผู้โจมตีที่ไม่ได้รับอนุญาต" ข้อบกพร่องสองรายการในรุ่นเดียวกัน คะแนน Critical สองรายการ และมีเพียงรายการเดียวเท่านั้นที่ต้องให้ผู้โจมตีถือข้อมูลรับรองก่อนเริ่มต้น การค้นพบ AI รายการที่สามในกลุ่มนี้ CVE-2026-85917 เป็นการปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ใน Azure AI Foundry ที่ 7.5 โดยมีขอบเขตไม่เปลี่ยนแปลงและผลกระทบจำกัดอยู่ที่ความลับ

อะไรที่เปลี่ยนไป และสิ่งที่ลูกค้ายังคงได้รับอยู่

สิ่งที่เปลี่ยนไปคือช่องโหว่ โดย Microsoft รายงานว่าได้รับการบรรเทาผลกระทบอย่างสมบูรณ์แล้ว และไม่มีลูกค้ารายใดต้องติดตั้งอะไรเลย สิ่งที่ไม่ได้เปลี่ยนไปคือบันทึกที่ลูกค้าสามารถเก็บรักษาไว้ได้ คำแนะนำของ CSA มีตั้งแต่เรื่องเร่งด่วนไปจนถึงเชิงโครงสร้าง — ยืนยันว่าการแก้ไขในเดือนกันยายน 2026 ไปถึงเทนแนนต์แล้ว เก็บรักษาและตรวจสอบบันทึกกิจกรรมและร่องรอยการตรวจสอบของ AI Foundry จากสัปดาห์ก่อนหน้านั้น แบ่งแยกโปรเจกต์ AI Foundry ตามเทนแนนต์และเวิร์กโหลด ใช้สิทธิ์น้อยที่สุดกับผู้ใช้ service principal และ managed identity จำกัดข้อมูลและข้อมูลรับรองที่โปรเจกต์ใดโปรเจกต์หนึ่งสามารถเข้าถึงได้ และรวมศูนย์การแจ้งเตือนของ AI Foundry และ Microsoft Defender for Cloud

ข้อเสนอแนะเชิงโครงสร้างของมันคือข้อที่ขยายผลได้เกินกว่าช่องโหว่ CVE นี้ นั่นคือ ให้ถือว่าระนาบการจัดการ AI บนคลาวด์เป็นหมวดหมู่ความเสี่ยงจากบุคคลที่สามที่แยกต่างหาก รวมประวัติการเปิดเผยช่องโหว่ของผู้ให้บริการไว้ในการประเมินผู้ขาย และกำหนดกรอบเวลาการแจ้งเตือนตามสัญญาและความโปร่งใสหลังเกิดเหตุสำหรับข้อบกพร่องในระนาบควบคุม ไม่มีข้อใดในนั้นจำเป็นต่อการรอดพ้นจาก CVE-2026-85889 แต่สิ่งเหล่านี้คือสิ่งที่ทำให้ภัยครั้งต่อไปปรากฏให้เห็น

คลังเก็บถาวรจัดประเภทสิ่งนี้อย่างไร

บันทึกนี้ถูกจัดเก็บเป็นช่องโหว่ — เป็นช่องโหว่ที่ถูกค้นพบ ไม่ใช่ช่องโหว่ที่ทราบว่าถูกใช้ประโยชน์แล้ว ระดับความเชื่อมั่นถูกจัดเป็น A ซึ่งหมายถึงมีเอกสารประกอบอย่างดีโดยแหล่งข้อมูลปฐมภูมิที่สอดคล้องกัน และบันทึกนี้ไม่ได้ถูกทำเครื่องหมายว่ามีข้อโต้แย้ง ฟิลด์ real-harm มีค่าเป็น false และการมีส่วนเกี่ยวข้องของ AI ได้รับการยืนยันแล้ว: ผลิตภัณฑ์ที่ได้รับผลกระทบคือแอปพลิเคชันและแพลตฟอร์มเอเจนต์แบบ generative-AI ไม่ใช่บริการคลาวด์อเนกประสงค์ที่บังเอิญอยู่ใกล้กับสิ่งดังกล่าว วันที่ถูกบันทึกที่ความละเอียดระดับวัน คือ 17 กันยายน 2026 โดยไม่มีวันที่สิ้นสุด เพราะนี่คือจุดเวลาเดียว ไม่ใช่แคมเปญ

สิ่งเดียวที่ฟิลด์ของคลังข้อมูลเองไม่สามารถถ่ายทอดได้คือเรื่องราวที่ขาดหายไปมีอยู่มากเพียงใด มีช่องโหว่การยืนยันตัวตนระดับความรุนแรงสูงสุดในแพลตฟอร์มที่ลูกค้าองค์กรใช้สร้างและรันเอเจนต์ มีการแก้ไข มีชื่อนักวิจัย สิ่งที่ไม่มี — ไม่ว่าที่ใดในคำแนะนำด้านความปลอดภัย บันทึก NVD บันทึกของ CSA หรือสื่อสายธุรกิจ — คือข้อความระบุว่าเคยมีใครลองใช้ช่องโหว่นี้หรือไม่ ข้อความระบุว่าเปิดให้เข้าถึงได้นานเพียงใด หรือวิธีให้ลูกค้าตรวจสอบได้ด้วยตนเอง