Microsoft Azure, Copilot und Entra: Mehrere Schwachstellen
WID-SEC-2026-0201 · erstmals 23.01.2026 · aktualisiert 26.01.2026 · CVSS 9,9
Worum es geht
Azure ist eine Cloud Computing-Plattform von Microsoft. Microsoft Copilot ist ein KI-Assistent, der in verschiedene Microsoft-Produkte integriert werden kann. Microsoft Entra ID (früher Azure Active Directory) ist ein cloudbasierter Identitäts- und Zugriffsverwaltungsdienst von Microsoft. Ein entfernter Angreifer kann mehrere Schwachstellen in Microsoft Azure, Microsoft 365 Copilot und Microsoft Entra ausnutzen, um seine Privilegien zu erhöhen, Cross-Site-Scripting-Angriffe durchzuführen und vertrauliche Informationen offenzulegen.
Unter welchen Bedingungen?
Über das Netz.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- seine Privilegien zu erhöhen
- Cross-Site-Scripting-Angriffe durchzuführen
- vertrauliche Informationen offenzulegen
Bin ich betroffen?
Betroffen sind laut BSI:
- Microsoft Azure Logic Apps
- Microsoft Azure Account
- Microsoft 365 Copilot Word
- Microsoft Azure Data Explorer
- Microsoft Azure Resource Manager
- Microsoft Entra ID
- Microsoft Azure Front Door
- Microsoft 365 Copilot
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Die vom Hersteller bereitgestellten Updates einspielen; Details in den Quellen unten.
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Microsoft Security Update Guide vom 2026-01-22 msrc.microsoft.com
- Azure Logic Apps Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Microsoft Account Spoofing Vulnerability vom 2026-01-22 msrc.microsoft.com
- Word Copilot Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Data Explorer Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Resource Manager Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Entra ID Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Front Door Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- M365 Copilot Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
CVE: CVE-2026-21227, CVE-2026-21264, CVE-2026-21521, CVE-2026-21524, CVE-2026-24304, CVE-2026-24305, CVE-2026-24306, CVE-2026-24307
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.