Azure AI Foundry 无需任何凭据即可提升权限 — CVE-2026-85889，CVSS 10.0

Microsoft 于 2026 年 9 月 17 日披露，Azure AI Foundry——用于构建、部署和管理生成式 AI 应用与智能体的企业平台，也以 Microsoft Foundry这一名称进行推广——存在一个缺失身份验证漏洞，评级为 CVSS 10.0，即最高分。该漏洞编号为 CVE-2026-85889，归类为 CWE-306，即关键功能缺少身份验证；根据 Microsoft 的公告，它允许未授权攻击者通过网络访问后端功能，并在无需任何凭据、无需用户交互的情况下提升权限。该平台托管在云端，因此修复已部署到 Microsoft 自有基础设施上，客户无需安装任何内容；Microsoft 表示未发现该漏洞曾被利用的证据，也没有记录到由此造成的损害。本次事件是 Orca AI Incident Archive 中的一条记录，该档案库保存了完整记录及其引用来源、严重性等级、置信度评估和争议标记。

该公告实际上是怎么说的

这份Microsoft Security Response Center的公告很短，而关于该漏洞几乎所有已公开的细节都出自这份公告。其描述全文如下：“Azure AI Foundry 中的关键功能缺少身份验证，使未经授权的攻击者能够通过网络提升权限。”其中没有列出受影响版本，因为本来就不存在版本之分：MSRC 针对 CVE-2026-85889 的记录将最新软件版本列为 N/A，也没有任何更新链接或下载内容，而这正是微软自行运营的服务的公告所呈现的常见形态。

MSRC 将该漏洞评为“严重”级别，基础评分为 10.0，对应向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H——可经网络远程利用、攻击复杂度低、无需权限、无需用户交互、作用域已改变，且对机密性、完整性和可用性的影响均为高。NVD 条目于 2026 年 9 月 17 日发布、最后修改于 9 月 25 日，其描述与之一致，并将该弱点映射为 CWE-306。在“已利用”和“已公开披露”字段下，微软记录的结果均为“否”。

该漏洞由Rémy Marot发现，The Hacker News对披露的报道中对此予以致谢，并在Cloud Security Alliance的研究笔记中被点名指出其负责任地报告了该漏洞。该笔记发布于2026年9月19日，是记录中唯一审视该公告遗漏之处的来源，并将这一缺口视为事件本身。

10.0 和 9.8 —— 两位评分者唯一存在分歧的一项指标

头条数字并不一致。NVD 为 CVE-2026-85889 显示了两个 CVSS 3.1 分数，它们来自两个不同的评分者，并且恰好只在一个指标上不同。微软的分数作为次要来源提交，为 10.0，对应 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。NVD 自己的主要分数为 9.8，对应 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。除 Scope 外，每个组成部分都完全相同。

微软将 Scope 评为 Changed；NVD 的主评分则保持 Unchanged。这就是差异的全部所在，而这并非咬文嚼字。在 CVSS 3.1 中，作用域为 Changed 意味着存在漏洞的组件与受影响的组件分属不同的安全权威——即攻击者的立足点与他们最终掌控的东西位于同一道边界的两侧。10.0 分是在宣称：跨越这道边界正是该漏洞的用意所在。NVD 的 9.8 分就影响、机密性、完整性与可用性均为 High 作出了同样的表述，却并未主张跨越了这道边界。两个评分都属 Critical。该档案并不把这一差距视为关于漏洞是否存在或是否已被修复的争议，读者也不应如此看待。

第三位评估者在后果方面更进一步，却没有改动评分。CISA 针对该 CVE 的 SSVC 决策记录（时间戳为 2026 年 9 月 18 日）将利用状态设为“无”，可自动化性设为“是”，技术影响设为“完全”。中间这个值值得细想：一个无需身份验证、低复杂度、会改变作用域的漏洞，从构造上就是可自动化的——其中没有任何环节需要人针对每个目标进行调整。

任何客户都无法安装的修复方案

Azure AI Foundry 是一项托管服务，因此 CVE-2026-85889 从未有过一个写有客户名字的补丁。MSRC 的公告没有更新文章，也没有变通方法，并在其常见问题解答中回答了那个显而易见的问题：“该漏洞已由 Microsoft 完全缓解。此服务的用户无需采取任何操作。此 CVE 的目的是提供进一步的透明度。”

云安全联盟的说明描述了同样的安排：修复措施已应用于微软的基础设施，并且“客户无需安装补丁，也无需采取任何行动”。《黑客新闻》报道称，微软表示已完全缓解该云问题，且无需客户采取行动。微软自己的记录将“需要客户采取行动”标记为否。在时间方面，MSRC将其公告日期定为2026年9月17日；CSA的说明则将公告及完成修复的时间定在2026年9月17日至18日。

这正是 CSA 说明反复回到的一点，而且这并不是对微软工程能力的批评。服务端修复快速、彻底，并且对客户免费。从客户一侧也无法察觉。

Microsoft 没有说的话

根据云安全联盟（Cloud Security Alliance）的说法，该公告未说明漏洞是何时引入的，且该说明未量化暴露时间窗口。微软也未披露存在漏洞的功能是如何可达的、涉及哪种凭据类型、是否需要特定于租户的标识符才能触发它，或者是否可能存在跨租户访问。这些并非报告中的空白；它们是 CSA 说明中明确指出微软未予解答的问题，并且该说明将跨租户问题列为与任何客户的风险评估都相关的问题。

该说明所得出的结论范围有限，却值得不加修饰地陈述：如果漏洞利用完全发生在服务器端，那么从客户一侧可能根本无从察觉。即便租户的项目曾遭到探测，租户管理员也可能没有任何日志记录可供查看。CSA 建议的应对措施是回溯性的——检查 2026 年 9 月 17–18 日之前数周的 Azure 活动日志和 AI Foundry 审计追踪，查找异常的行政操作、模型或代理配置变更以及异常的服务账户访问，并直接向 Microsoft 询问跨租户访问在技术上是否曾经可行。

该公告本身既未指明报告者，也未说明该漏洞的报告日期，NVD 的记录同样没有提供这些信息，因此，Marot 的报告与修复之间的时间间隔，无法从本记录中的任何内容得以确定。

它周围的波

CVE-2026-85889 并非孤立的修复。Microsoft 安全更新指南列出了 2026 年 9 月 17 日发布的 18 个漏洞，而这一组漏洞的构成才是更具信息量的事实。全部 18 个均为 Critical。每一个都是云服务。每一个都被记录为未被利用，且无需客户采取行动。18 个中有七个评分为 10.0——Azure Billing、Microsoft Fabric、Azure AI Foundry、Azure Logic Apps 中的两个、Azure Arc 以及 Microsoft Container Registry。

要读懂这条头条，关键在于这波漏洞内部的对比。CVE-2026-85885，即发生在 Microsoft 365 Copilot 中的命令注入，评分为 9.9，评级为 PR:L——需要权限——微软的描述称“经过授权的攻击者”。CVE-2026-85889 是 PR:N，并称“未经授权的攻击者”。同一发布版本中的两个漏洞，两个严重级评分，而其中只有一个要求攻击者在开始前持有凭据。该组中的第三个 AI 漏洞发现 CVE-2026-85917，是 Azure AI Foundry 中的服务器端请求伪造，评分为 7.5，作用域未改变，影响仅限于机密性。

有哪些变化，以及客户仍能保留什么

发生变化的是缺陷本身：Microsoft 报告其已完全缓解，客户无需部署任何内容。没有改变的是客户能够保留的记录。CSA 的建议从即时措施到结构性措施不一而足——确认 2026 年 9 月的修复已到达租户；保存并审查此前数周的活动日志和 AI Foundry 审计跟踪；按租户和工作负载划分 AI Foundry 项目；对用户、服务主体和托管标识应用最小权限；限制任何单个项目可访问的数据和凭据；并集中管理 AI Foundry 和 Microsoft Defender for Cloud 警报。

它的结构性建议才具有超越这一个 CVE 的普适性：把云 AI 管理平面视为一个独立的第三方风险类别，将供应商的漏洞披露历史纳入供应商评估，并要求针对控制平面缺陷设定合同化的通知时限与事后透明度。要在 CVE-2026-85889 中幸存下来，这些都不是必需的。但正是这些，能让下一个漏洞变得可见。

档案如何归类这一个

该记录被归类为漏洞——它是已被发现的漏洞，而不是已知已被利用的漏洞。其置信度评级为 A，意味着有充分的文档记录且一手来源彼此一致，并且该记录未被标记为存在争议。它的“实际危害”字段为 false，其 AI 参与情况已确认：受影响的产品是一个生成式 AI 应用与智能体平台，而不是恰好与之相邻的通用云服务。其日期精确到日，为 2026 年 9 月 17 日，没有结束日期，因为这是一个单一时间点，而非一场持续的活动。

档案自身的字段唯一无法传达的，是这个故事中有多大一部分属于“缺失”。某个企业客户用来构建和运行智能体的平台存在一个最高严重级别的身份验证漏洞。有修复方案。有研究人员的名字。而不存在的是——无论是在公告、NVD 记录、CSA 说明还是行业媒体中——任何关于有人尝试利用过该漏洞的陈述，关于该漏洞在多长时间内可被触达的陈述，或让客户自行核查的方法。