Microsoft Azure, Copilot und Entra: Mehrere Schwachstellen
WID-SEC-2026-0201 · primera publicación 23.01.2026 · actualizado 26.01.2026 · CVSS 9,9
De qué se trata
Azure ist eine Cloud Computing-Plattform von Microsoft. Microsoft Copilot ist ein KI-Assistent, der in verschiedene Microsoft-Produkte integriert werden kann. Microsoft Entra ID (früher Azure Active Directory) ist ein cloudbasierter Identitäts- und Zugriffsverwaltungsdienst von Microsoft. Ein entfernter Angreifer kann mehrere Schwachstellen in Microsoft Azure, Microsoft 365 Copilot und Microsoft Entra ausnutzen, um seine Privilegien zu erhöhen, Cross-Site-Scripting-Angriffe durchzuführen und vertrauliche Informationen offenzulegen.
¿En qué condiciones?
A través de la red.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- seine Privilegien zu erhöhen
- Cross-Site-Scripting-Angriffe durchzuführen
- vertrauliche Informationen offenzulegen
¿Me afecta?
Afectados según el BSI:
- Microsoft Azure Logic Apps
- Microsoft Azure Account
- Microsoft 365 Copilot Word
- Microsoft Azure Data Explorer
- Microsoft Azure Resource Manager
- Microsoft Entra ID
- Microsoft Azure Front Door
- Microsoft 365 Copilot
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Instalar las actualizaciones del fabricante; detalles en las fuentes de abajo.
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Microsoft Security Update Guide vom 2026-01-22 msrc.microsoft.com
- Azure Logic Apps Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Microsoft Account Spoofing Vulnerability vom 2026-01-22 msrc.microsoft.com
- Word Copilot Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Data Explorer Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Resource Manager Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Entra ID Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- Azure Front Door Elevation of Privilege Vulnerability vom 2026-01-22 msrc.microsoft.com
- M365 Copilot Information Disclosure Vulnerability vom 2026-01-22 msrc.microsoft.com
CVE: CVE-2026-21227, CVE-2026-21264, CVE-2026-21521, CVE-2026-21524, CVE-2026-24304, CVE-2026-24305, CVE-2026-24306, CVE-2026-24307
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.