Azure AI Foundry không cần thông tin xác thực để leo thang đặc quyền — CVE-2026-85889, CVSS 10.0

Microsoft đã công bố vào ngày 17 tháng 9 năm 2026 rằng Azure AI Foundry — nền tảng doanh nghiệp để xây dựng, triển khai và quản lý các ứng dụng và tác nhân AI tạo sinh, còn được tiếp thị là Microsoft Foundry — từng có một lỗ hổng thiếu xác thực được đánh giá CVSS 10.0, mức tối đa. Được theo dõi với mã CVE-2026-85889 và được phân loại là CWE-306, thiếu xác thực đối với một chức năng quan trọng, lỗ hổng này cho phép kẻ tấn công không được phép truy cập một chức năng backend qua mạng và leo thang đặc quyền mà không cần thông tin đăng nhập và không cần tương tác của người dùng, theo tư vấn của Microsoft. Nền tảng này được lưu trữ trên đám mây, vì vậy bản vá đã được triển khai trên cơ sở hạ tầng của chính Microsoft và khách hàng không cần cài đặt gì; Microsoft cho biết họ không tìm thấy bằng chứng nào cho thấy lỗ hổng từng bị khai thác và không ghi nhận thiệt hại nào từ lỗ hổng này. Sự cố này là một mục trong Orca AI Incident Archive, nơi lưu giữ hồ sơ đầy đủ cùng các nguồn được trích dẫn, mức độ nghiêm trọng, đánh giá độ tin cậy và cờ tranh chấp.

Bản khuyến cáo thực sự nói gì

Bản tư vấn Microsoft Security Response Center rất ngắn, và gần như mọi chi tiết đã công bố về lỗ hổng này đều đến từ đó. Mô tả của nó viết đầy đủ: "Thiếu xác thực đối với chức năng quan trọng trong Azure AI Foundry cho phép kẻ tấn công không được ủy quyền nâng cao đặc quyền qua mạng." Không có phiên bản bị ảnh hưởng, vì không có phiên bản nào: bản ghi của MSRC cho CVE-2026-85889 liệt kê bản phát hành phần mềm mới nhất là N/A và không có liên kết cập nhật hay bản tải xuống, đây là hình thức thông thường của một bản tư vấn cho dịch vụ do chính Microsoft vận hành.

MSRC đánh giá lỗ hổng ở mức Nghiêm trọng với điểm cơ sở 10.0, theo vectơ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — có thể truy cập qua mạng, độ phức tạp tấn công thấp, không yêu cầu đặc quyền, không cần tương tác người dùng, phạm vi thay đổi và tác động cao đến tính bảo mật, tính toàn vẹn và tính khả dụng. Mục NVD, được công bố ngày 17 tháng 9 năm 2026 và được sửa đổi lần cuối vào ngày 25 tháng 9, có cùng mô tả và ánh xạ điểm yếu tới CWE-306. Trong các trường “Exploited” và “Publicly Disclosed”, Microsoft ghi nhận No và No.

Lỗ hổng được phát hiện bởi Rémy Marot, được ghi nhận trong bài tường thuật của The Hacker News về việc công bố và được nêu tên trong ghi chú nghiên cứu của Cloud Security Alliance với tư cách là người đã báo cáo nó một cách có trách nhiệm. Ghi chú đó, xuất bản ngày 19 tháng 9 năm 2026, là nguồn duy nhất trong hồ sơ xem xét những gì bản khuyến nghị bỏ sót, và nó coi khoảng trống đó chính là câu chuyện.

10.0 và 9.8 — chỉ số duy nhất mà hai người chấm điểm không đồng ý với nhau

Con số nổi bật không phải là nhất trí. NVD hiển thị hai điểm CVSS 3.1 cho CVE-2026-85889, từ hai đơn vị chấm điểm khác nhau, và chúng khác nhau đúng một chỉ số. Điểm của Microsoft, được ghi nhận là nguồn thứ cấp, là 10.0 với AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Điểm chính do chính NVD đưa ra là 9.8 với AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Mọi thành phần đều giống hệt nhau, ngoại trừ Scope.

Microsoft chấm Scope là Changed; điểm số chính của NVD giữ nó là Unchanged. Đó là toàn bộ sự khác biệt, và đó không phải là sự câu nệ chữ nghĩa. Trong CVSS 3.1, Scope Changed có nghĩa là thành phần bị lỗ hổng và thành phần bị ảnh hưởng là những cơ quan bảo mật khác nhau — rằng bàn đạp của kẻ tấn công và thứ mà chúng cuối cùng kiểm soát nằm ở hai phía đối diện của một ranh giới. Điểm 10.0 là một tuyên bố rằng vượt qua ranh giới đó chính là mục đích của lỗ hổng. Điểm 9.8 của NVD đưa ra tuyên bố tương tự về tác động, với tính bảo mật, tính toàn vẹn và tính sẵn sàng đều là High, mà không khẳng định việc vượt ranh giới. Cả hai điểm số đều là Critical. Kho lưu trữ không coi khoảng cách đó là tranh chấp về việc lỗ hổng có tồn tại hay đã được khắc phục hay không, và người đọc cũng không nên làm vậy.

Một người đánh giá thứ ba đã đi xa hơn về hệ quả mà không động đến điểm số. CISA có bản ghi quyết định SSVC cho CVE, được đóng dấu thời gian ngày 18 tháng 9 năm 2026, đặt mức khai thác là "none", khả năng tự động hóa là "yes", và tác động kỹ thuật là "total". Giá trị ở giữa là giá trị đáng để suy ngẫm: một lỗ hổng không cần xác thực, độ phức tạp thấp, thay đổi phạm vi thì về bản chất là có thể tự động hóa — không có gì trong đó đòi hỏi con người phải điều chỉnh nó theo từng mục tiêu.

Bản vá mà không khách hàng nào có thể cài đặt

Azure AI Foundry là một dịch vụ được lưu trữ, vì vậy CVE-2026-85889 chưa bao giờ có bản vá gắn với tên của khách hàng. Khuyến cáo của MSRC không có bài viết cập nhật và không có cách xử lý tạm thời, đồng thời trả lời câu hỏi hiển nhiên trong phần FAQ của mình: “Lỗ hổng này đã được Microsoft giảm thiểu hoàn toàn. Người dùng dịch vụ này không cần thực hiện hành động nào. Mục đích của CVE này là nhằm cung cấp thêm tính minh bạch.”

Ghi chú của Cloud Security Alliance mô tả cùng một cách thức: biện pháp khắc phục đã được áp dụng cho hạ tầng của Microsoft, và “khách hàng không có bản vá nào để cài và không cần thực hiện hành động nào”. The Hacker News đưa tin rằng Microsoft cho biết họ đã giảm thiểu hoàn toàn sự cố trên đám mây và không cần khách hàng thực hiện hành động nào. Hồ sơ của chính Microsoft đánh dấu “khách hàng cần thực hiện hành động” là sai. Về thời điểm, MSRC ghi ngày bản tư vấn của mình là 17 tháng 9 năm 2026; ghi chú của CSA đặt bản tư vấn và việc khắc phục đã hoàn tất trong khoảng 17–18 tháng 9 năm 2026.

Đây là điểm mà ghi chú CSA cứ quay về, và đó không phải là lời chỉ trích đối với kỹ thuật của Microsoft. Một bản sửa phía máy chủ thì nhanh, trọn vẹn và miễn phí cho khách hàng. Nó cũng không thể quan sát được từ phía khách hàng.

Điều Microsoft không nói

Theo Cloud Security Alliance, bản khuyến nghị không nêu thời điểm lỗ hổng được đưa vào, và ghi chú không định lượng khoảng thời gian phơi nhiễm. Microsoft cũng không tiết lộ chức năng dễ bị tổn thương được tiếp cận như thế nào, loại thông tin xác thực nào liên quan, có cần định danh riêng của tenant để khai thác hay không, hoặc liệu có thể truy cập xuyên tenant hay không. Đó không phải là những khoảng trống trong báo cáo; chúng là những câu hỏi mà ghi chú của CSA nói rõ rằng Microsoft đã để ngỏ, và nó nêu câu hỏi xuyên tenant là một câu hỏi liên quan đến đánh giá rủi ro của bất kỳ khách hàng nào.

Hệ quả mà ghi chú rút ra thì hẹp và đáng được nêu thẳng, không tô vẽ: nếu việc khai thác diễn ra hoàn toàn ở phía máy chủ, thì có thể hoàn toàn không thấy được từ phía khách hàng. Một quản trị viên tenant có thể đã không có dòng nhật ký nào để xem ngay cả khi các dự án của họ đã bị thăm dò. Biện pháp ứng phó được CSA khuyến nghị mang tính hồi cứu — hãy xem xét nhật ký hoạt động Azure và dấu vết kiểm toán của AI Foundry từ những tuần trước ngày 17–18 tháng 9 năm 2026 để tìm các hành động quản trị bất thường, thay đổi cấu hình mô hình hoặc tác nhân, và truy cập bất thường bằng tài khoản dịch vụ, đồng thời hỏi trực tiếp Microsoft liệu truy cập xuyên tenant có khả thi về mặt kỹ thuật hay không.

Bản tư vấn itself không nêu tên người báo cáo cũng như ngày lỗ hổng được báo cáo, và bản ghi NVD cũng vậy, nên khoảng thời gian giữa báo cáo của Marot và bản sửa lỗi không được bất kỳ điều gì trong bản ghi này xác lập.

Làn sóng xung quanh nó

CVE-2026-85889 không phải là một bản sửa lỗi đơn lẻ. Hướng dẫn cập nhật bảo mật của Microsoft liệt kê 18 lỗ hổng được công bố vào ngày 17 tháng 9 năm 2026, và hình thái của nhóm này mới là thông tin đáng chú ý hơn. Cả 18 đều ở mức Nghiêm trọng. Mỗi lỗ hổng đều là một dịch vụ đám mây. Mỗi lỗ hổng đều được ghi nhận là chưa bị khai thác và không yêu cầu khách hàng phải hành động. Bảy trong số 18 lỗ hổng đạt điểm 10,0 — Azure Billing, Microsoft Fabric, Azure AI Foundry, hai lỗ hổng trong Azure Logic Apps, Azure Arc và Microsoft Container Registry.

Sự tương phản trong làn sóng này rất quan trọng khi đọc tiêu đề. CVE-2026-85885, lỗi chèn lệnh trong Microsoft 365 Copilot ở mức 9.9, được chấm là PR:L — yêu cầu quyền — và mô tả của Microsoft nói "một kẻ tấn công được ủy quyền". CVE-2026-85889 là PR:N và nói "một kẻ tấn công không được ủy quyền". Hai lỗ hổng trong cùng một bản phát hành, hai điểm Critical, và chỉ một trong số đó yêu cầu kẻ tấn công phải có thông tin xác thực trước khi bắt đầu. Phát hiện AI thứ ba trong nhóm, CVE-2026-85917, là lỗi giả mạo yêu cầu phía máy chủ trong Azure AI Foundry ở mức 7.5, được chấm với phạm vi không thay đổi và tác động chỉ giới hạn ở tính bảo mật.

Những gì đã thay đổi và những gì khách hàng vẫn có thể giữ

Điều đã thay đổi là lỗ hổng: Microsoft báo cáo rằng lỗ hổng đã được giảm thiểu hoàn toàn và không khách hàng nào phải triển khai bất cứ thứ gì. Điều không thay đổi là hồ sơ mà khách hàng có thể lưu giữ. Các khuyến nghị của CSA trải từ tức thời đến mang tính cấu trúc — xác nhận rằng bản khắc phục tháng 9 năm 2026 đã đến được tenant; bảo toàn và xem xét nhật ký hoạt động và dấu vết kiểm toán của AI Foundry từ những tuần trước đó; phân tách các dự án AI Foundry theo tenant và khối lượng công việc; áp dụng đặc quyền tối thiểu cho người dùng, service principal và managed identity; giới hạn dữ liệu và thông tin xác thực mà bất kỳ dự án đơn lẻ nào có thể truy cập; và tập trung hóa cảnh báo của AI Foundry và Microsoft Defender for Cloud.

Khuyến nghị mang tính cấu trúc của nó là khuyến nghị có thể khái quát hóa vượt ra ngoài CVE này: coi các mặt phẳng quản lý AI trên đám mây như một hạng mục rủi ro bên thứ ba riêng biệt, đưa lịch sử công bố lỗ hổng của các nhà cung cấp vào đánh giá nhà cung cấp, và yêu cầu các mốc thời gian thông báo theo hợp đồng cùng sự minh bạch sau sự cố đối với các lỗ hổng ở mặt phẳng điều khiển. Không điều nào trong số đó là cần thiết để sống sót qua CVE-2026-85889. Đó là điều sẽ giúp lỗ hổng tiếp theo trở nên hữu hình.

Kho lưu trữ phân loại mục này như thế nào

Bản ghi được ghi nhận là một lỗ hổng — một lỗ hổng đã được phát hiện, không phải một lỗ hổng được biết là đã bị khai thác. Độ tin cậy được xếp hạng A, nghĩa là được ghi chép đầy đủ với các nguồn sơ cấp đồng thuận, và bản ghi không bị đánh dấu là đang tranh chấp. Trường tác hại thực tế của nó là false, và mức độ liên quan đến AI đã được xác nhận: sản phẩm bị ảnh hưởng là một ứng dụng AI tạo sinh và nền tảng tác nhân, không phải dịch vụ đám mây đa dụng tình cờ nằm gần một sản phẩm như vậy. Ngày được ghi nhận với độ chính xác đến ngày, 17 tháng 9 năm 2026, không có ngày kết thúc, vì đây là một thời điểm đơn lẻ chứ không phải một chiến dịch.

Điều duy nhất mà các trường dữ liệu của chính kho lưu trữ không thể thể hiện là phần lớn câu chuyện nằm ở những gì không có. Có một lỗ hổng xác thực ở mức nghiêm trọng tối đa trong một nền tảng mà khách hàng doanh nghiệp dùng để xây dựng và vận hành agent. Có bản sửa lỗi. Có tên một nhà nghiên cứu. Điều không có — ở bất kỳ đâu trong khuyến cáo, hồ sơ NVD, ghi chú CSA hay báo chí chuyên ngành — là tuyên bố rằng có ai đã thử lỗ hổng, tuyên bố về việc lỗ hổng có thể được tiếp cận trong bao lâu, hay cách để khách hàng tự kiểm tra.