Microsoft закрыла уязвимость Azure AI Foundry с максимальным баллом CVSS 10.0

Microsoft выпустила исправление для уязвимости максимального уровня опасности в облачной платформе Azure AI Foundry (также известной как Microsoft Foundry). Эта корпоративная среда предназначена для создания, развёртывания и управления генеративными ИИ-приложениями и агентами.

Что известно об уязвимости

Брешь получила идентификатор CVE-2026-85889 и оценку CVSS 10.0 — предельно возможную. Согласно опубликованному в четверг бюллетеню, проблема связана с отсутствием аутентификации для критической функции: это позволяло неавторизованному злоумышленнику повысить свои привилегии по сети. Иными словами, для атаки не требовались ни учётные данные, ни физический доступ.

Уязвимость обнаружил и сообщил о ней исследователь безопасности Реми Маро (Rémy Marot). Признаков эксплуатации бреши в реальных атаках компания не нашла. Как это обычно бывает с облачными уязвимостями, Microsoft устранила проблему полностью на своей стороне, поэтому от пользователей не требуется никаких действий.

Другие критические исправления

Одновременно Microsoft закрыла ещё несколько серьёзных уязвимостей в облачных сервисах:

• CVE-2026-85885 (CVSS 9.9) — инъекция команд в Microsoft 365 Copilot, позволяющая авторизованному злоумышленнику повысить привилегии по сети;
• CVE-2026-85878 (CVSS 9.9) — некорректная авторизация в Azure Database for PostgreSQL;
• CVE-2026-87701 (CVSS 9.6) — уязвимость в Azure Cosmos DB.

Отдельно вышли обновления для двух локальных уязвимостей Windows 11 версии 26H1 — они поставляются во внеплановом накопительном пакете KB5129194. Это CVE-2026-62721 (CVSS 7.8) в службе Windows User-Mode Power Service, дающая привилегии SYSTEM, и CVE-2026-85921 (CVSS 8.2) — двойное освобождение памяти в Secure Kernel Mode с повышением до уровня доверия VTL1.

На фоне рекордного вторника обновлений

Нынешние заплатки появились спустя считаные дни после того, как Microsoft закрыла рекордные 974 уязвимости в рамках планового обновления. Две из них — в подсистемах Windows ALPC и Windows Update Stack — уже находятся под активной эксплуатацией. По данным Proofpoint и Volexity, брешь в ALPC была объединена с двумя уязвимостями Google Chrome в эксплойт-набор под названием BlueMoon, который взяли на вооружение сразу несколько кибершпионских группировок для доставки вредоносной нагрузки.

Источник: The Hacker News