|
24.08.2026 08:19 Uhr |
Die gute Nachricht vorweg: Da es um Cloud-Produkte von Microsoft geht, müssen IT-Verantwortliche nicht aktiv werden, das Unternehmen hat die Sicherheitslücken bereits serverseitig gepatcht. Berichte über bereits attackierte Lücken etwa in Microsofts Entra ID waren jedoch verfrüht, Microsoft hat die fehlerhafte Angabe inzwischen korrigiert.
Die Schwachstellen hat Microsoft am vergangenen Freitag veröffentlicht. Zur kritischen Sicherheitslücke CVE-2026-69836 in Entra ID schrieb Microsoft zunächst, dass sie bereits attackiert wurde (Exploited: Yes). Der Versionsverlauf zeigt auf, dass Microsoft im Laufe des Freitags das schließlich korrigiert und den Eintrag auf „No“ gesetzt hat – die Lücke wurde doch nicht in freier Wildbahn angegriffen. Die Liste der in der Nacht zum Freitag veröffentlichten und geschlossenen Lücken in den Azure-Diensten ist etwas länger:
Zu keiner der Lücken schreibt Microsoft (mehr), dass sie bereits von bösartigen Akteuren angegriffen wurden. Die Menge an kritischen Lücken teils mit Höchstwertung des Risikos von CVSS 10.0 etwa in besonders sensiblen Diensten wie Microsoft Exchange Online ist dennoch überraschend.
Zuletzt wurde vergangenen Donnerstag bekannt, dass Microsoft auf seinen Servern Sicherheitslücken geschlossen hat. Da ging es jedoch um den KI-Assistenten Copilot. Der hatte vor der Korrektur auf Nachfrage preisgegeben, über welche Schwachstellen er angreifbar ist.
(dmk)