Das BSI warnt: Microsoft vermeldet mehrere Schwachstelle in Azure und bündelt diese mit dem Schweregrad CVSS 10.0 und ist so absolut kritisch. Durch die Lücken könnten nicht authentifizierte Nutzer zu hohen Rechten gelangen und im System einen Angriff umsetzen. Die gute Nachricht: Microsoft hat die Updates bereits eingespielt.
Das Bundesamt für Sicherheit in der Informationstechnik warnt in seinem Sicherheitshinweis WID-SEC-2026-1649 vor einer Reihe an Schwachstellen die alle mit Azure zusammenhängen. Die CVSS-Werte gehen von 7.7 bis 10.0 und betreffen Microsoft Azure Active Directory B2C, Privileged Identity Management, Virtual Network Gateway, Orbital Spatio und Stack HCI. Die Updates müssen aber nicht eingespielt werden, denn das hat Microsoft bereits von seiner Seite schon getan.
Azure-Lücken sind kritisch als Gesamtpaket
Die Sicherheitswarnung des BSI nennt Insgesamt 5 Sicherheitslücken unter Azure. Eine gelten mit einem CVSS-Wert unter 9 eigentlich nicht als kritisch, da sie aber im Zusammenspiel gefährlich sind, hat Microsoft sie alle auf der Seite als kritisch eingestuft. Hier ein Überblick.
- CVE-2026-33843, CVSS: 9.1: Die Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal in Microsoft Azure Active Directory B2C ermöglicht es einem nicht autorisierten Angreifer, seine Berechtigungen in einem Netzwerk zu erweitern.
-
CVE-2026-35430, CVSS: 8.8: Ein authentifizierter Angreifer kann über Azure Privileged Identity Management Berechtigungen ausweiten.
- CVE-2026-40411, CVSS: 9.9: Eine fehlerhafte Eingabeprüfung in Azure Virtual Network Gateway kann Remote Code Execution ermöglichen.
- CVE-2026-40412, CVSS: 10.0: Ein ungeprüfter Datei-Upload in Azure Orbital Spatio kann Codeausführung über das Netzwerk ermöglichen.
- CVE-2026-26147, CVSS: 7.7: Eine mangelhafte Eingabevalidierung in Azure Compute Gallery ermöglicht es einem autorisierten Angreifer, Informationen über ein Netzwerk preiszugeben.
Microsoft hat die Informationen für mehr Transparenz ihrer Schwachstellen- und Update-Politik veröffentlicht. Von Seiten der Anwender bzw. Admins gibt es zum Glück nichts weiter zu tun.
Über Microsoft Deutschland Die Microsoft Deutschland GmbH wurde 1983 als deutsche Niederlassung der Microsoft Corporation (Redmond, U.S.A.) gegründet. Microsoft hat es sich zur Aufgabe gemacht, jede Person und jedes Unternehmen auf der Welt zu befähigen, mehr zu erreichen. Diese Herausforderung kann nur gemeinsam gemeistert werden, weshalb Diversität und Inklusion seit den Anfängen fest in der Unternehmenskultur verankert sind. Als weltweit führender Hersteller von produktiven Softwarelösungen und modernen Services im Zeitalter von intelligent Cloud und intelligent Edge, sowie als Entwickler innovativer Hardware, versteht sich Microsoft als Partner seiner Kunden, um diesen zu helfen, von der digitalen Transformation zu profitieren. Sicherheit und Datenschutz haben bei der Entwicklung von Lösungen oberste Priorität. Als weltweit größter Beitragsgeber treibt Microsoft die Open-Source-Technologie über seine führende Entwicklerplattform GitHub voran. Mit LinkedIn, dem größten Karriere-Netzwerk, fördert Microsoft die berufliche Vernetzung weltweit.