Microsoft hat am vergangenen Freitag eine umfangreiche Serie von Sicherheitslücken in seinen Cloud-Diensten geschlossen. Die gute Nachricht für IT-Verantwortliche: Da es sich um reine Cloud-Produkte handelt, hat Microsoft die Patches bereits serverseitig eingespielt – ein manueller Eingriff ist nicht erforderlich. Allerdings sorgte eine zwischenzeitlich fehlerhafte Einstufung für Verwirrung: Die zunächst als bereits aktiv attackiert gemeldete Schwachstelle in Microsoft Entra ID wurde vom Unternehmen nachträglich korrigiert.
Kritische Lücken mit Höchstbewertung: Das Ausmaß der Bedrohung
Insgesamt listet Microsoft 18 Schwachstellen in seiner aktuellen Patch-Runde, von denen sechs die kritischste Bewertung von CVSS 10.0 erhalten haben. Diese betreffen besonders sensible Dienste im Azure-Ökosystem und in Exchange Online. Die Bandbreite der betroffenen Komponenten zeigt, wie tief die Probleme in der Cloud-Infrastruktur verankert sind: Von der Identitätsverwaltung über Datenbankdienste bis hin zu Big-Data-Plattformen.
Die kritischen Schwachstellen im Detail (CVSS 10.0)
- Microsoft Entra ID (CVE-2026-69836): Eine Schwachstelle zur Remotecodeausführung, die ursprünglich als bereits ausgenutzt gemeldet wurde. Microsoft korrigierte dies später auf „No“.
- Azure Managed Instance for Apache Cassandra (CVE-2026-65770): Auch hier ermöglicht die Lücke die Ausführung von Code aus der Ferne.
- Azure Arc (CVE-2026-69555, CVE-2026-65816): Zwei separate Sicherheitslücken, die jeweils eine Erhöhung von Berechtigungen erlauben.
- Azure SQL Database (CVE-2026-69502): Eine Schwachstelle, die Angreifern ebenfalls eine Rechteausweitung ermöglicht.
- Microsoft Exchange Online (CVE-2026-65801): Diese Lücke in der E-Mail- und Kollaborationsplattform ist besonders brisant, da sie ebenfalls eine Erhöhung von Berechtigungen erlaubt.
Acht weitere kritische Sicherheitslücken in Azure-Diensten
Über die Höchstbewertungen hinaus identifizierte Microsoft weitere Schwachstellen, die als kritisch eingestuft wurden. Diese verteilen sich auf verschiedene Kernkomponenten der Azure-Plattform. So wurden in der Azure SQL Database gleich drei separate Sicherheitslücken mit einem CVSS-Score von 9.9 geschlossen (CVE-2026-68789, CVE-2026-68782, CVE-2026-66309). Weitere kritische Lücken betreffen Azure Logic Apps (CVSS 9.6), Azure Data Factory (CVSS 9.3) und Microsoft Entra ID mit einer weiteren Rechteausweitung (CVE-2026-69851, CVSS 9.9).
Warum die Konzentration auf Cloud-Dienste für Unternehmen relevant ist
Für Unternehmen, die auf die Microsoft-Cloud setzen, bedeutet diese Patch-Welle vor allem eines: Die Angriffsfläche in der Cloud bleibt enorm. Die Tatsache, dass Microsoft alle Patches serverseitig einspielt, mag auf den ersten Blick entlastend wirken. Doch der wahre Wert dieser Meldung liegt im Bewusstsein dafür, dass selbst vollständig gemanagte Cloud-Dienste nicht immun gegen schwerwiegende Sicherheitslücken sind. IT-Verantwortliche sollten daher ihre Cloud-Sicherheitsstrategie regelmäßig überprüfen und Monitoring-Prozesse etablieren, die ungewöhnliche Aktivitäten – wie etwa plötzliche Berechtigungserhöhungen – in Microsoft Entra ID oder Azure SQL Database erkennen.
Verwirrung um Attacken auf Entra ID
Besonders interessant ist der Fall um CVE-2026-69836 in Microsoft Entra ID. Die erste Version des Sicherheitsbulletins vermerkte, dass die Lücke bereits in freier Wildbahn ausgenutzt wurde („Exploited: Yes“). Microsoft korrigierte diesen Eintrag im Laufe des Freitags auf „No“. Für Sicherheitsteams, die auf solche Indikatoren für aktive Bedrohungen angewiesen sind, ist dies eine wichtige Information: Die Fehleinschätzung unterstreicht, wie wichtig es ist, Meldungen nicht unkritisch zu übernehmen. Zwischenzeitlich kann eine falsche Klassifizierung unnötige Alarmstimmung auslösen oder im umgekehrten Fall zu gefährlicher Untätigkeit führen.
Weitere hochriskante Schwachstellen in Azure und Partner Center
Neben den kritischen Lücken schloss Microsoft auch mehrere als „hoch“ eingestufte Schwachstellen. Dazu gehören Offenlegungen von Informationen im Microsoft Partner Center (CVE-2026-69558, CVSS 8.6), in Azure Stack HCI (CVE-2026-69519, CVSS 8.6) und Azure Data Factory (CVE-2026-66800, CVSS 8.6). Eine Sicherheitslücke ermöglicht die Offenlegung von Informationen über Microsoft Copilot in Azure (CVE-2026-69855, CVSS 7.7). Dies ist besonders bemerkenswert, da Microsoft erst vor wenigen Tagen eine separate Sicherheitslücke in Copilot schloss, bei der der KI-Assistent auf Anfrage seine eigenen Schutzmechanismen preisgab.
Was Unternehmen jetzt tun sollten
Obwohl kein manuelles Einspielen von Patches erforderlich ist, sollten IT-Abteilungen die aktuellen Sicherheitsbulletins von Microsoft genau analysieren. Die Frage, die sich für viele Betriebe stellt: Welche dieser Dienste werden aktiv genutzt, und wie sind die Berechtigungsstrukturen dort konfiguriert? Unternehmen mit einer Least-Privilege-Strategie sind hier klar im Vorteil, da viele der geschlossenen Lücken auf eine Erhöhung von Berechtigungen abzielen. Zudem sollten Sicherheitsverantwortliche prüfen, ob ihre SIEM-Lösungen (Security Information and Event Management) die relevanten Microsoft-Cloud-Dienste überwachen – insbesondere Azure SQL Database, Exchange Online und Entra ID stehen diesmal im Fokus.
Die Zukunft der Cloud-Sicherheit bei Microsoft
Die schiere Anzahl kritischer Lücken mit Höchstbewertung in dieser Runde wirft ein Schlaglicht auf die Komplexität moderner Cloud-Plattformen. Mit der zunehmenden Integration von KI-Diensten wie Copilot erweitert sich die Angriffsfläche weiter. Für die kommenden Monate ist zu erwarten, dass Microsoft sein Sicherheits-Patch-Management noch weiter automatisieren wird – schließlich ist die manuelle Korrektur falscher „Exploited“-Statusmeldungen ein Hinweis darauf, dass auch die internen Prozesse des Konzerns nicht fehlerfrei laufen. Für Unternehmen bleibt die Devise: Cloud-Dienste mögen wartungsarm sein, aber sicherheitsarm sind sie keineswegs. Die regelmäßige Überprüfung von Cloud-Sicherheitskonfigurationen und das Verständnis der jeweils aktuellen Bedrohungslandschaft bleiben unverzichtbar.
