Microsoft schließt CVSS 10.0 Auth-Bypass in Azure AI Foundry

Stellen Sie sich einen Banktresor mit der dicksten Tür der Branche vor – Biometrie, Schleusen, das volle Programm. Jetzt stellen Sie sich vor, die Architekten haben vergessen, die Hintertür zu sichern, durch die das Reinigungspersonal kommt. Genau das ist es, was Rémy Marot in Azure AI Foundry entdeckt hat: Der Haupteingang sah makellos aus, und der Lieferanteneingang stand sperrangelweit offen.

Microsoft hat diese Woche einen Fix für eine CVSS-10.0-Schwachstelle in seiner führenden Enterprise-KI-Plattform veröffentlicht – mitten im umfangreichsten Patch-Zyklus der Unternehmensgeschichte. Die Tresor-Metapher wird in den nächsten tausend Wörtern noch viel Arbeit leisten, denn es gibt eine Menge ungesicherter Türen zu besprechen.

Was geschah

Am Donnerstag, wie The Hacker News berichtete, veröffentlichte Microsoft eine Sicherheitswarnung für CVE-2026-85889, eine Schwachstelle mit maximalem Schweregrad in Azure AI Foundry – der Plattform, die auch als Microsoft Foundry vermarktet wird und dem Aufbau, der Bereitstellung und Verwaltung generativer KI-Anwendungen und Agenten dient.

Die Beschreibung ist kurz und unangenehm: „Fehlende Authentifizierung für eine kritische Funktion in Azure AI Foundry ermöglicht es einem nicht autorisierten Angreifer, Berechtigungen über ein Netzwerk zu erhöhen." Keine Anmeldedaten erforderlich. Keine Benutzerinteraktion. Über das Netzwerk. Das ist das Triumvirat, das einen CVSS-Score auf 10.0 treibt – und genau dafür existiert diese Zahl.

Den Fund meldete Sicherheitsforscher Rémy Marot im Rahmen einer verantwortungsvollen Offenlegung. Microsoft gibt an, es gebe keine Hinweise auf Ausnutzung in freier Wildbahn. Da der Fix auf der Cloud-Seite eingespielt wurde, ist kein Handlungsbedarf seitens der Kunden erforderlich.

Der Foundry-Bug kam nicht allein. Microsoft legte auch CVE-2026-85885 (CVSS 9,9) offen, eine Command-Injection in Microsoft 365 Copilot; CVE-2026-85878 (CVSS 9,9), eine fehlerhafte Autorisierung in Azure Database for PostgreSQL; sowie CVE-2026-87701 (CVSS 9,6), ein Neutralisierungsfehler in Azure Cosmos DB. Alle drei ermöglichen es einem autorisierten Angreifer, Berechtigungen über ein Netzwerk zu erhöhen. Alle drei wurden serverseitig behoben.

Zwei weitere Schwachstellen erhielten außerplanmäßige Windows-11-26H1-Patches (KB5129194, Build 28000.2956): CVE-2026-62721 im User-Mode Power Service, der lokal SYSTEM-Rechte gewährt, und CVE-2026-85921, ein Double-Free im Secure Kernel Mode, der VTL1-Rechte ermöglicht und ursprünglich letzten Monat offengelegt wurde. All das kommt noch zu den rekordverdächtigen 974 Schwachstellen hinzu, die Microsoft Anfang der Woche gepatcht hatte – zwei davon, in Windows ALPC und im Windows Update Stack, werden bereits aktiv ausgenutzt.

Technische Analyse

„Fehlende Authentifizierung für eine kritische Funktion" ist die Art von Befund, bei dem erfahrene Ingenieure die Augen verdrehen. Das ist OWASP-Grundlage, eine Fehlerklasse, die in irgendeiner Form seit jeher auf der Top-Ten-Liste steht – noch bevor Foundrys Produktmanager SQL schrieben. Und diese Lücke landet in einer Plattform, deren gesamtes Versprechen lautet: „Vertrauen Sie uns, Ihre Agenten in der Produktion zu betreiben."

Foundry befindet sich an der Schnittstelle von allem, was in der modernen Cloud beängstigend ist: Modell-Endpunkte, Agenten-Runtimes, Tool-Calling-Konnektoren, Vektorspeicher und die Kundendaten, die all das speisen. Der Schadenradius einer kritischen Funktion, die ohne Authentifizierung exponiert ist, bedeutet nicht nur „Angreifer gelangt in einen Dienst". Es bedeutet potenziell „Angreifer pivotiert in die Control Plane jedes KI-Agenten, den ein Mandant bereitgestellt hat." Die Exploit-Details der CVE liegen nicht vor, und Microsoft veröffentlicht sie nicht – aber das ist die Form des Risikos, wenn die betroffene Komponente als kritische Funktion beschrieben wird.

Die anderen Cloud-CVEs zeichnen ein konsistentes Bild. Command-Injection in Copilot bedeutet, dass Eingaben, die an einen shellartigen Kontext weitergegeben wurden, nicht bereinigt wurden. Fehlerhafte Autorisierung in Postgres und fehlerhafte Neutralisierung in Cosmos DB zeigen beide auf das langweilige Detail: die Stelle, an der geprüft wird, ob der Aufrufer tatsächlich berechtigt ist, das Angeforderte zu tun. Wer schon einmal eine mandantenfähige Autorisierungsschicht debuggt hat, weiß, wie leicht ein Code-Pfad ungedeckt bleibt, während die anderen neunundneunzig kugelsicher wirken.

Das Windows-Paar ist klassischer. Ein UMPS mit unzureichender Zugriffskontrolle ist eine klassische lokale Erhöhung auf SYSTEM, und ein Double-Free im Secure Kernel Mode mit VTL1-Zugang ist genau die Art von Schwachstelle, die virtualisierungsbasierte Sicherheit aushebelt. Das BlueMoon Exploit-Kit, gemeldet von Proofpoint und Volexity, verkettet die ALPC-Lücke mit zwei Chrome-Bugs. Das ist eine Browser-zu-Kernel-Kette, die mehreren spionageorientierten Akteuren zur Verfügung steht und wie üblich in Listen wie dem CISA KEV-Katalog erfasst wird, sobald sich der Staub gelegt hat. Das Schloss am Tresor ist nur so stark wie das schwächste Scharnier – und BlueMoon ist eine Operation auf Scharniersuche.

Wer betroffen ist

Die Foundry-Offenlegung ist auf dem Papier die am wenigsten schmerzhafte. Cloud-seitig behoben, kein Handlungsbedarf für Kunden, keine Hinweise auf Ausnutzung in freier Wildbahn. In der Praxis gilt: Wenn Sie als CTO oder Platform Lead Produktionsagenten auf Foundry betreiben, bedeutet „kein Handlungsbedarf" nicht dasselbe wie „nichts zu bedenken." Sie müssen davon ausgehen, dass ein Zeitfenster existierte, in dem ein nicht authentifizierter Angreifer diese kritische Funktion erreichen konnte – und Sie haben von außen keine Möglichkeit zu wissen, wie lange dieses Fenster offen stand oder wer hindurchgeschaut hat.

Für iGaming- und Fintech-Teams, die Copilot-Integrationen oder Foundry-gehostete Agenten mit Kundendaten erproben, hat sich das Risikomodell gerade verschoben. Die Copilot-Command-Injection ist die Schwachstelle, über die ich den Schlaf verlieren würde. Copilot wird in Ticketing-Systeme, CRM, interne Wissensdatenbanken und zunehmend in Entscheidungsworkflows integriert. Ein autorisierter Angreifer, der Berechtigungen durch eine prompt-gesteuerte Injection erhöht, klingt sehr nach den Insider-Bedrohungsszenarien, vor denen Compliance-Teams seit einem Jahrzehnt warnen – nur dass der „Insider" jetzt jeder sein kann, der Zugang zu einem Dokument hat, das Copilot verarbeitet.

Ad-Tech- und Enterprise-Data-Teams, die auf Cosmos DB oder Azure PostgreSQL setzen, befinden sich in einer ähnlichen Lage. Auf Plattformebene behoben – ja. Aber die Prüffrage, die Ihr Vorstand nächstes Quartal stellen wird, lautet: „War unser Mandant zwischen dem Bestehen der Schwachstelle und dem Microsoft-Fix betroffen?" Die ehrliche Antwort lautet oft „Wir wissen es nicht" – und das klingt vor einem Regulator schlecht.

Die Windows- und ALPC-betroffene Nutzerbasis steht vor einem harten Quartal. BlueMoon ist bereits in den Händen mehrerer Spionageakteure. Jede Unternehmensflotte mit ungepatchtem Chrome und Windows ist ein Ziel, und das Exploit-Kit-Modell senkt die Einstiegshürde weiter, je mehr Gruppen es lizenzieren oder kopieren.

Handlungsempfehlungen für Sicherheitsteams

Starten Sie mit der Annahme, dass „kein Handlungsbedarf" für den Patch gilt – nicht für Ihre Incident-Response-Haltung. Ziehen Sie alle Audit-Logs, die Sie für Foundry, Copilot, Cosmos und Azure Postgres aufbewahren, und suchen Sie nach anomalen Berechtigungserhöhungen, ungewöhnlicher Service-Principal-Aktivität oder API-Aufrufen an Admin-Endpunkte aus unbekannten Quellen. Wenn Ihre Log-Aufbewahrungsfrist kürzer ist als das Offenlegungsfenster, ist das selbst ein Befund.

Auf der Endpoint-Seite: Spielen Sie KB5129194 noch diese Woche auf Windows-11-26H1-Flotten ein – nicht im nächsten Sprint. Wenn Sie Chrome als verwalteten Browser einsetzen, stellen Sie sicher, dass Ihr Update-Kanal aktuell ist und dass Endnutzer nicht auf veralteten Versionen feststecken, weil eine gepinnte Extension verhindert. BlueMoon ist das Kit, das genau den einen Laptop findet, den Ihr MDM übersehen hat.

Mappen Sie die Exploit-Chain gegen MITRE ATT&CK für Ihr Detection-Engineering-Team – insbesondere im Hinblick auf initialen Zugriff via Browser, Berechtigungserhöhung via ALPC-Missbrauch und Defence Evasion innerhalb von VTL1. Wenn Sie eine Threat-Hunting-Funktion haben, ist dies die Woche, sie einzusetzen.

Nutzen Sie diesen Zyklus schließlich als Argument intern. Wenn jemand in einem Planungsmeeting eine Authentifizierungsprüfung als niedrige Priorität abtut, weil „die Plattform das handhabt", zeigen Sie auf CVE-2026-85889. Ein CVSS 10.0 mit der Beschreibung „fehlende Authentifizierung für kritische Funktion" ist genau der Beleg, der architektonische Diskussionen beendet.

Wichtigste Erkenntnisse

• CVE-2026-85889 in Azure AI Foundry ist eine CVSS-10.0-Schwachstelle zur nicht authentifizierten Berechtigungserhöhung über das Netzwerk, serverseitig behoben ohne Kundenbedarf.
• Microsoft hat außerdem kritische Lücken in Microsoft 365 Copilot (9,9), Azure Database for PostgreSQL (9,9) und Azure Cosmos DB (9,6) gepatcht – alle cloud-seitig behoben.
• Windows 11 26H1 erhielt ein außerplanmäßiges Update (KB5129194) für eine SYSTEM-level-UMPS-Lücke und einen VTL1-Double-Free im Secure Kernel Mode.
• Das BlueMoon Exploit-Kit, das einen ALPC-Bug mit zwei Chrome-Lücken verkettet, wird laut Proofpoint und Volexity bereits von mehreren spionageorientierten Akteuren eingesetzt.
• Cloud-seitig behoben bedeutet nicht audit-abgeschlossen: Ziehen Sie Ihre Foundry-, Copilot- und Datenbank-Logs und suchen Sie nach dem Fenster zwischen Schwachstelle und Fix.

Die Tresortür ist gepatcht. Die Frage, die jeder Platform Lead dieses Quartal stellen sollte, lautet: Wie viele andere Lieferanteneingänge stehen noch offen in den Produkten, auf die das Unternehmen bereits gesetzt hat?