Microsoft hat die Behebung von sechs Schwachstellen bekannt gegeben, darunter CVE-2026-85889 mit der maximalen CVSS-Bewertung von 10.0 in der Plattform Azure AI Foundry. Nach Angaben des Unternehmens erlaubte die Schwachstelle einem nicht autorisierten Angreifer, über das Netzwerk eine Rechteausweitung durchzuführen, da in einer kritischen Funktion die Authentifizierung fehlte. Vier Cloud-Schwachstellen wurden laut Microsoft bereits vollständig serverseitig behoben und erfordern keine Maßnahmen durch die Nutzer. Für zwei Schwachstellen in Windows 11 Version 26H1 wurde das außerplanmäßige Update KB5129194 veröffentlicht.
Cloud-Schwachstellen: Details und Status
Die zentrale Schwachstelle – CVE-2026-85889 – betrifft Azure AI Foundry (auch als Microsoft Foundry bekannt), eine Unternehmensplattform für Erstellung, Bereitstellung und Verwaltung von Anwendungen und Agenten mit generativer KI. Der Schwachstellentyp ist „Missing Authentication for Critical Function“ (fehlende Authentifizierung für eine kritische Funktion). Die Entdeckung wird dem Forscher Rémy Marot zugeschrieben. Nach Angaben von Microsoft wurden bislang keine Hinweise auf eine Ausnutzung in realen Angriffen festgestellt.
Neben der zentralen Schwachstelle meldete Microsoft die Behebung von drei weiteren kritischen Cloud-Bugs:
- CVE-2026-85885 (CVSS 9.9) – Command Injection in Microsoft 365 Copilot, die einem autorisierten Angreifer eine Rechteausweitung über das Netzwerk ermöglicht
- CVE-2026-85878 (CVSS 9.9) – fehlerhafte Autorisierung in Azure Database for PostgreSQL mit einem ähnlichen Vektor zur Rechteausweitung
- CVE-2026-87701 (CVSS 9.6) – Schwachstelle aufgrund fehlerhafter Neutralisierung in Azure Cosmos DB, die ebenfalls zu einer Rechteausweitung über das Netzwerk führt
Wichtige Anmerkung: Die CVSS-Bewertungen und Beschreibungen dieser Cloud-Schwachstellen basieren auf Informationen aus einer einzigen Quelle – dem Microsoft-Sicherheitshinweis. Die MSRC-Seiten zeigten zum Zeitpunkt der Prüfung noch keine detaillierten Inhalte an. Keine der sechs Schwachstellen ist im CISA-KEV-Katalog aufgeführt.
Windows-Schwachstellen: Installation des Updates erforderlich
Im Gegensatz zu den Cloud-Bugs erfordern zwei Schwachstellen in Windows von Administratoren konkrete Maßnahmen – die Installation des außerplanmäßigen Updates:
- CVE-2026-62721 (CVSS 7.8) – unzureichende Granularität der Zugriffskontrolle im Windows User-Mode Power Service (UMPS). Ein autorisierter Angreifer kann lokal seine Rechte bis zur Stufe SYSTEM ausweiten.
- CVE-2026-85921 (CVSS 8.2) – Double-Free-Speicherfehler (double free) im Windows Secure Kernel Mode. Er ermöglicht es einem autorisierten Angreifer, lokal Privilegien des Virtual Trust Level 1 (VTL1) zu erlangen – einer durch Virtualisierung geschützten Ebene.
Beide Schwachstellen wurden mit dem Update KB5129194 vom 14. September 2026 für Windows 11 Version 26H1 (Build 28000.2956) behoben, das für die Architekturen x64 und arm64 verfügbar ist.
Unterschiedliche Reaktionsmodelle
Der grundlegende Unterschied zwischen den beiden Gruppen von Schwachstellen liegt im Behebungsmodell. Cloud-Bugs (CVE-2026-85889, CVE-2026-85885, CVE-2026-85878, CVE-2026-87701) behebt Microsoft auf Infrastruktur-Ebene: Kunden müssen nichts installieren. Dies ist gängige Praxis bei Cloud-CVEs – das Unternehmen veröffentlicht aus Transparenzgründen einen Sicherheitshinweis, aber der Fix ist bereits eingespielt. Die Schwachstellen in Windows (CVE-2026-62721 und CVE-2026-85921) erfordern dagegen von Administratoren die Installation des Updates KB5129194. Genau diese beiden Bugs stellen ein praktisches Risiko für Organisationen dar, die das Patchen aufschieben.
Bereits zuvor hatten wir über aktiv ausgenutzte Windows-Schwachstellen aus dem September-Zyklus der Microsoft-Updates berichtet – insbesondere über die Schwachstelle in Windows ALPC und die Schwachstelle im Windows Update Stack. Die aktuelle außerplanmäßige Veröffentlichung ergänzt diesen umfangreichen Patch.
Empfehlungen
- Für Nutzer der Cloud-Services Azure und Microsoft 365 Copilot: Es sind keine Maßnahmen erforderlich – Microsoft gibt an, dass die Schwachstellen bereits auf Plattform-Seite behoben wurden.
- Für Administratoren von Windows 11 Version 26H1: Installieren Sie das Update KB5129194 (Build 28000.2956). CVE-2026-85921 mit der Bewertung 8.2 ermöglicht die Kompromittierung der Virtualisierungsebene VTL1 und hat daher Priorität auf Systemen, die Virtualization-Based Security einsetzen.
- Prüfen Sie den aktuellen OS-Build mit dem Befehl
winver– der Ziel-Build nach dem Update ist 28000.2956.
Auch wenn bislang keine der sechs Schwachstellen als ausgenutzt gemeldet ist, weisen der CVSS-Score von 10.0 für CVE-2026-85889 und 8.2 für CVE-2026-85921 auf ein hohes Schadenspotenzial hin. Administratoren von Windows 11 26H1 sollten KB5129194 zeitnah installieren und dabei besonderes Augenmerk auf Systeme mit aktivierter Virtualization-Based Security legen, bei denen eine Kompromittierung von VTL1 das gesamte Isolationsmodell untergraben kann.
