Azure AI Foundry 無需憑證即可提升權限 — CVE-2026-85889，CVSS 10.0

Microsoft 於 2026 年 9 月 17 日披露，Azure AI Foundry——這個用於建置、部署及管理生成式 AI 應用程式與代理程式的企業平台，亦以Microsoft Foundry之名行銷——存在一項缺少驗證的漏洞，評分為CVSS 10.0，屬最高分。該漏洞追蹤編號為CVE-2026-85889，並歸類為CWE-306（關鍵功能缺少驗證）；根據 Microsoft 的公告，未經授權的攻擊者可透過網路觸及後端功能，並在無憑證、無使用者互動的情況下提升權限。該平台為雲端託管，因此修復程式已部署於 Microsoft 自家基礎設施，客戶無需安裝任何項目；Microsoft 表示未發現該漏洞曾被利用的證據，亦未記錄到相關損害。此事件是Orca AI Incident Archive中的一筆記錄，該資料庫保存完整紀錄，包括其引用來源、嚴重性評級、信心評估及爭議標記。

該公告實際上是怎麼說的

這份Microsoft Security Response Center公告內容簡短，而關於這個漏洞的幾乎每一項已公開細節都出自這份公告。其描述全文如下：「Azure AI Foundry 中關鍵功能缺少驗證，允許未經授權的攻擊者透過網路提升權限。」這裡沒有受影響的版本，因為根本沒有版本：MSRC 對 CVE-2026-85889 的記錄將最新軟體版本列為 N/A，且沒有任何更新連結或下載項目，而這正是 Microsoft 自行營運之服務的公告常見樣貌。

MSRC 將該漏洞評為「重大」（Critical），基本分數為 10.0，向量為 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H——可透過網路觸達、攻擊複雜度低、無需權限、無需使用者互動、範圍已變更，且對機密性、完整性與可用性均有高影響。NVD 條目於 2026 年 9 月 17 日發布，最後修改於 9 月 25 日，具有相同描述，並將該弱點對應至 CWE-306。在「已遭利用」與「已公開揭露」欄位中，Microsoft 均記錄為「否」。

該漏洞是由Rémy Marot發現；The Hacker News對這起披露的報導予以記名，而Cloud Security Alliance的研究備註則將他列為負責任地通報該漏洞的人。該備註於 2026 年 9 月 19 日發布，是紀錄中唯一檢視該公告遺漏了什麼的來源，並把這項缺口當作整件事的重點。

10.0 與 9.8——兩位評分者唯一意見分歧的指標

這個頭條數字並非一致。NVD 針對 CVE-2026-85889 列出兩個 CVSS 3.1 分數，分別來自兩個不同的評分者，而兩者恰好只差一項指標。Microsoft 的分數以次要來源登錄，為 10.0，向量字串是 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。NVD 自身的主要分數則是 9.8，向量字串為 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。除了 Scope 之外，每一個組成要素都完全相同。

微軟將 Scope 評為 Changed；NVD 的主要評分則維持 Unchanged。這就是差異的全部，並非吹毛求疵。在 CVSS 3.1 中，Scope 為 Changed 表示易受攻擊的元件與受影響的元件屬於不同的安全權限範圍——攻擊者的立足點與其最終控制的對象位於邊界的兩側。10.0 分的主張是：跨越該邊界正是這個漏洞存在的目的。NVD 的 9.8 分同樣表明影響、機密性、完整性與可用性全為 High，卻沒有主張跨越邊界。兩個評分都屬於 Critical。該檔案庫並不將這一差距視為關於漏洞是否存在或是否已修復的爭議，讀者也不應如此看待。

第三位評估者在後果層面走得更遠，卻未更動評分。CISA針對該 CVE 的 SSVC 決策記錄時間戳為 2026 年 9 月 18 日，其中將利用狀態設為「無」，可自動化設為「是」，技術影響設為「全面」。中間那個值值得細細思量：一個未經身分驗證、低複雜度、會改變作用域的漏洞，在本質上即可自動化——其中沒有任何環節需要人工針對各個目標進行調整。

沒有客戶能安裝的修正程式

Azure AI Foundry 是託管服務，因此 CVE-2026-85889 從來沒有過以客戶名義發布的修補程式。MSRC 的公告沒有更新文章，也沒有因應措施，並在其 FAQ 中回答了這個顯而易見的問題：「Microsoft 已完全緩解此弱點。此服務的使用者無須採取任何動作。此 CVE 的目的是提供進一步的透明度。」

Cloud Security Alliance 的說明描述了相同的安排：補救措施已套用至 Microsoft 的基礎設施，且「客戶無須安裝修補程式，也無須採取任何行動」。The Hacker News 報導，Microsoft 表示已完全緩解該雲端問題，且無須客戶採取行動。Microsoft 自己的紀錄將「需要客戶採取行動」標記為 false。在時間方面，MSRC 將其公告日期定為 2026 年 9 月 17 日；CSA 的說明則將公告與完成補救的時間定在 2026 年 9 月 17 日至 18 日。

這正是 CSA 備註反覆回到的重點，而這並不是對 Microsoft 工程能力的批評。伺服器端的修正快速、徹底，且對客戶而言免費。但從客戶這一側來看，它也同樣無從察覺。

Microsoft 沒說的是什麼

根據雲端安全聯盟（Cloud Security Alliance），該公告並未說明此漏洞是何時引入的，而該說明也未量化暴露期間。微軟同樣未披露可如何觸及該受影響函式、涉及哪一種憑證類型、是否需要租用戶專屬識別碼才能觸發，或是否可能進行跨租用戶存取。這些並非報導上的缺漏；這些是 CSA 說明明確指出微軟懸而未答的問題，而且它將跨租用戶問題列為與任何客戶風險評估相關的一項。

這份備忘錄所得的結論範圍狹窄，值得平實陳述而不加渲染：若漏洞利用完全發生在伺服器端，從客戶這一側可能根本無從察覺。即使租用戶系統管理員的專案曾遭探測，他們也可能根本沒有任何日誌紀錄可供查看。CSA 建議的應對措施屬於回溯性質——檢視 2026 年 9 月 17 日至 18 日之前數週的 Azure 活動日誌與 AI Foundry 稽核軌跡，查找異常的系統管理動作、模型或代理程式組態變更，以及異常的服務帳戶存取情形，並直接向 Microsoft 詢問跨租用戶存取在技術上是否可行。

該公告本身既未指明通報者，也未載明該漏洞的通報日期，NVD 的紀錄亦然，因此 Marot 通報與修復之間相隔多久，無法從本紀錄中的任何內容加以確立。

它周圍的波浪

CVE-2026-85889 並非單一獨立修補。Microsoft 的安全性更新指南列出 2026 年 9 月 17 日發布的 18 個漏洞，而這組漏洞的整體樣態才是更具資訊價值的事實。全數 18 個皆為 Critical。每一個都是雲端服務。每一個都記錄為未遭利用，且無須客戶採取行動。18 個中有 7 個得分 10.0——Azure Billing、Microsoft Fabric、Azure AI Foundry、Azure Logic Apps 中的兩個、Azure Arc，以及 Microsoft Container Registry。

這波漏洞潮中的對比，對於解讀頭條很重要。 CVE-2026-85885，這是 Microsoft 365 Copilot 中的命令注入漏洞，評分 9.9，評為 PR:L——需要權限——而 Microsoft 的描述寫道「經授權的攻擊者」。CVE-2026-85889 是 PR:N，並寫道「未經授權的攻擊者」。同一版本中的兩個漏洞、兩個 Critical 評分，而其中只有一個需要攻擊者在發動前先持有憑證。該組中的第三個 AI 發現，CVE-2026-85917，是 Azure AI Foundry 中的伺服器端請求偽造漏洞，評分 7.5，評為範圍不變，且影響僅限於機密性。

改變了什麼，以及客戶仍能保有什麼

发生变化的是这个缺陷本身：Microsoft 将其报告为已完全缓解，客户没有任何需要部署的东西。没有改变的是客户能够保留下来的记录。CSA 的建议从即时措施到结构性措施——确认 2026 年 9 月的修补已落实到租户；保存并审查该修补之前数周的活动日志与 AI Foundry 审计轨迹；按租户与工作负载划分 AI Foundry 项目；对用户、服务主体和托管标识实施最小权限；限制任何单个项目所能触及的数据与凭据；并集中管理 AI Foundry 与 Microsoft Defender for Cloud 的警报。

其結構性建議才是能推廣到這起 CVE 之外的建議：將雲端 AI 管理平面視為獨立的第三方風險類別、把供應商的漏洞揭露歷史納入供應商評估，並要求針對控制平面缺陷的合約通知時程與事件後透明度。上述這些都不是挺過 CVE-2026-85889 的必要條件。但這些才是讓下一宗漏洞得以被看見的關鍵。

檔案館如何分類這一個

此記錄被歸類為漏洞——是已發現的漏洞，而非已知遭利用的漏洞。其信心等級評為 A，意指文件記錄充分，且主要來源一致，且該記錄未標記為有爭議。其真實危害欄位為 false，且其 AI 涉入情形已獲確認：受影響的產品是生成式 AI 應用與代理平台，而非恰好位於某個生成式 AI 應用與代理平台旁邊的通用雲端服務。其日期以日為精度記錄為 2026 年 9 月 17 日，且沒有結束日期，因為這是單一時間點，而非一場行動。

檔案庫自身欄位唯一無法傳達的一件事，就是這個故事有多大一部分是「缺席」。企業客戶用來建置與執行代理程式的平台上，存在一個最高嚴重等級的身分驗證漏洞。有修補程式。有研究人員的名字。但沒有的——無論是在公告、NVD 紀錄、CSA 說明或業界媒體的任何地方——是任何指出有人嘗試利用該漏洞的聲明、任何說明該漏洞可被觸及多久的聲明，或任何讓客戶自行查核的方法。