Microsoft stopft zahlreiche Cloud-Schwachstellen

Die gute Nachricht vorweg: Da es um Cloud-Produkte von Microsoft geht, müssen IT-Verantwortliche nicht aktiv werden, das Unternehmen hat die Sicherheitslücken bereits serverseitig gepatcht. Berichte über bereits attackierte Lücken etwa in Microsofts Entra ID waren jedoch verfrüht, Microsoft hat die fehlerhafte Angabe inzwischen korrigiert.

Die Schwachstellen hat Microsoft am vergangenen Freitag veröffentlicht. Zur kritischen Sicherheitslücke CVE-2026-69836 in Entra ID schrieb Microsoft zunächst, dass sie bereits attackiert wurde (Exploited: Yes). Der Versionsverlauf zeigt auf, dass Microsoft im Laufe des Freitags das schließlich korrigiert und den Eintrag auf „No“ gesetzt hat – die Lücke wurde doch nicht in freier Wildbahn angegriffen. Die Liste der in der Nacht zum Freitag veröffentlichten und geschlossenen Lücken in den Azure-Diensten ist etwas länger:

1. Microsoft Entra ID Remote Code Execution Vulnerability (CVE-2026-69836, CVSS 10.0, Risiko „kritisch“)
2. Azure Managed Instance for Apache Cassandra Remote Code Execution Vulnerability (CVE-2026-65770, CVSS 10.0, Risiko „kritisch“)
3. Azure Arc Elevation of Privilege Vulnerability (CVE-2026-69555, CVSS 10.0, Risiko „kritisch“)
4. Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-69502, CVSS 10.0, Risiko „kritisch“)
5. Azure Arc Elevation of Privilege Vulnerability (CVE-2026-65816, CVSS 10.0, Risiko „kritisch“)
6. Microsoft Exchange Online Elevation of Privilege Vulnerability (CVE-2026-65801, CVSS 10.0, Risiko „kritisch“)
7. Microsoft Entra ID Elevation of Privilege Vulnerability (CVE-2026-69851, CVSS 9.9, Risiko „kritisch“)
8. Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-68789, CVSS 9.9, Risiko „kritisch“)
9. Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-68782, CVSS 9.9, Risiko „kritisch“)
10. Azure Logic Apps Elevation of Privilege Vulnerability (CVE-2026-69400, CVSS 9.6, Risiko „kritisch“)
11. Azure Data Factory Elevation of Privilege Vulnerability (CVE-2026-62834, CVSS 9.3, Risiko „kritisch“)
12. Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-66309, CVSS 9.1, Risiko „kritisch“)
13. Microsoft Partner Center Information Disclosure Vulnerability (CVE-2026-69558, CVSS 8.6, Risiko „hoch“)
14. Azure Stack HCI Information Disclosure Vulnerability (CVE-2026-69519, CVSS 8.6, Risiko „hoch“)
15. Azure Data Factory Information Disclosure Vulnerability (CVE-2026-66800, CVSS 8.6, Risiko „hoch“)
16. Azure Virtual Machines Elevation of Privilege Vulnerability (CVE-2026-69543, CVSS 8.5, Risiko „hoch“)
17. Azure Data Manager for Energy Remote Code Execution Vulnerability (CVE-2026-69419, CVSS 8.5, Risiko „hoch“)
18. Microsoft Copilot in Azure Information Disclosure Vulnerability (CVE-2026-69855, CVSS 7.7, Risiko „hoch“)

Doch (noch) keine Cyberangriffe

Zu keiner der Lücken schreibt Microsoft (mehr), dass sie bereits von bösartigen Akteuren angegriffen wurden. Die Menge an kritischen Lücken teils mit Höchstwertung des Risikos von CVSS 10.0 etwa in besonders sensiblen Diensten wie Microsoft Exchange Online ist dennoch überraschend.

Zuletzt wurde vergangenen Donnerstag bekannt, dass Microsoft auf seinen Servern Sicherheitslücken geschlossen hat. Da ging es jedoch um den KI-Assistenten Copilot. Der hatte vor der Korrektur auf Nachfrage preisgegeben, über welche Schwachstellen er angreifbar ist.

(dmk)