Microsoft corrige CVE-2026-85889 no Azure AI Foundry com CVSS 10.0

A Microsoft publicou correcções para uma falha de segurança de gravidade máxima no Azure AI Foundry - também conhecido como Microsoft Foundry - que, segundo a empresa, poderia permitir a um atacante escalar privilégios. O problema figura como CVE-2026-85889 e a Microsoft designou uma pontuação CVSS de 10.0. No seu aviso oficial, a empresa descreve a falha como uma “falta de autenticação para uma função crítica” que permitiria a um atacante não autenticado elevar privilégios através da rede. A empresa acreditou o pesquisador Rémy Marot pelo achado e afirmou que, no momento, não há evidências de exploração em ambientes reais e que não é necessária ação por parte dos clientes porque a mitigação já foi implantada no serviço.

O que aconteceu (fatos confirmados): Microsoft catalogou a vulnerabilidade como CVE-2026-85889 (CVSS 10.0) e corrigiu-a dentro de sua plataforma administrada Azure AI Foundry. A correção foi aplicada pela Microsoft no lado do serviço e a empresa indicou explicitamente que não requer intervenção do cliente. O achado foi relatado pelo pesquisador Rémy Marot. A Microsoft também distribuiu adesivos para várias outras vulnerabilidades críticas em produtos cloud e Windows, incluindo CVE-2026-85885, CVE-2026-85878, CVE-2026-87701, bem como duas vulnerabilidades locais no Windows tratadas em uma atualização fora de ciclo para Windows 11 versão 26H1 (KB5129194).

Como funciona tecnicamente (explicação baseada na descrição oficial e estimativas técnicas): a descrição “missing authentication for critical function” indica que existe uma rota de software – provavelmente um endpoint da API ou uma interface de gestão interna – que realiza operações sensíveis sem verificar a identidade ou as permissões do requerente. Em plataformas de IA que gerem modelos, agentes e implantaçãos, uma operação crítica sem autenticação pode permitir ações como modificar papéis, implantar agentes com escalagem de privilégios, executar comandos administrativos ou emitir tokens com privilégios elevados. A Microsoft não publicou um exploit público nem detalhes detalhados do vetor exacto; portanto, a cadeia de ataque concreta (que chamadas, que parâmetros, se necessário acesso à rede interna ou a uma interface pública) continua a ser informação não confirmada e deve ser tratada como estimativa técnica.

Em termos gerais, uma vulnerabilidade deste tipo num serviço gerido pode permitir a um atacante remoto controlar recursos do inquilino afetado (tenants) ou manipular cargas de trabalho de IA se o endpoint for acessível a partir de redes externas ou por meio de credenciais comprometidas. Como a Microsoft afirma que a mitigação foi aplicada no serviço, a janela de exposição deve ser curta para clientes que não operem instalações on-premises do componente afetado.

Quem afecta: o vetor impacta organizações que usam o Azure AI Foundry para construir, implantar ou gerenciar aplicativos gerativos e agentes. Isto inclui empresas que hospedam modelos, pipelines e agentes orquestrados por Foundry e que confiam em seus controles de autenticação e autorização. O risco real depende de como cada cliente tenha exposto serviços e credenciais: ambientes com endpoints públicos, políticas de permissões laxas ou contas de serviço de alto privilégio têm maior probabilidade de impacto. Usuários finais de aplicativos construídos sobre Foundry não estão necessariamente diretamente em risco se as APIs críticas não foram invocadas sem autenticação em suas implantaçãos concretas; no entanto, a possibilidade de acesso de um atacante à infraestrutura subjacente coloca riscos para dados e processos.

Consequências reais possíveis: se a vulnerabilidade tivesse sido explorada antes do adesivo, um atacante poderia ter obtido privilégios administrativos em recursos gerenciados por Foundry, modificar ou exfiltrar modelos e dados, implantar agentes maliciosos ou pivotar dentro da infraestrutura cloud. Embora a Microsoft indica que não há evidência de exploração, as consequências teóricas justificam uma revisão pós-evento: auditoria de acessos, verificação de integridade de modelos, e verificação de implantaçãos recentes ou mudanças de configuração suspeitos.

Informações confirmadas sobre estimativas e incertezas: confirmado — existência da CVE, adesivo aplicado pela Microsoft, crédito ao pesquisador e ausência pública de exploração conhecida; também confirmado que a Microsoft sistemaizou outras vulnerabilidades críticas e emitiu uma atualização fora de ciclo para Windows 11. Estimado — o mecanismo exato do exploit (que função concreta carecia de autenticação), o alcance detalhado em cada tenant e se houve tentativas silenciosas de exploração antes do adesivo. Não se devem assumir sucessos de exploração sem evidência forense.

O que o leitor deve fazer agora: embora a Microsoft indica que não é necessária ação por parte dos clientes, há medidas concretas e verificáveis que toda organização deveria tomar para reduzir risco residual e detectar atividade anómala. Primeiro, verifique as comunicações e o centro de notificações do Azure para seu inquilino e confírme-o com o seu representante da Microsoft ou o administrador do tenant. Segundo, verifique os registros de atividade e auditoria do Azure (Azure Activity Log, Azure AD sign-in logs) no período anterior e posterior ao adesivo em busca de acessos incomuns, chamadas a APIs administrativas ou tokens emitidos fora das janelas normais. Terceiro, rote credenciais e chaves de serviço de alto privilégio associadas a Foundry e minimice permissões de contas de serviço seguindo o princípio de menor privilégio. Quarto, certifique-se de que suas soluções de monitoramento (Azure Sentinel, Defender for Cloud, SIEM) estão coletando telemetria relevante e tenha alertas para criar papéis, concessões de permissões e implantaçãos automatizados. Quinto, aplique a atualização fora do ciclo do Windows 11 (KB5129194) a equipamentos afetados se mantiver estações ou servidores com essa versão, e mantenha seu programa de adesivo por dia para evitar que falhas locais sejam encadeadas com falhas remotas.

Finalmente, documente e preserve logs caso seja necessária uma investigação posterior e considere realizar um barrido de segurança completo dos ambientes de Foundry: revisão de modelos e artefatos, comparativa de integridade e verificação de pipelines de CI/CD. Se a sua organização suspeita ter sofrido algum compromisso relacionado, active o plano de resposta a incidentes e contacte o suporte da Microsoft para coordenação forense.

Recursos úteis: para detalhes e notificação oficial consulte os canais do Microsoft Security Response Center e a página do serviço Azure; para monitorar ameaças relacionadas à exploração no Windows ver as análises publicadas por empresas de resposta a ameaças. Mais informações sobre: Microsoft Security Response Center, Azure e o perfil do pesquisador em https://twitter.com/R_Marot. Para informações sobre recentes campanhas que usam cadeias de exploração sobre falhas do Windows, consulte equipamentos de pesquisa de ameaças como Proofpoint e Volexity.