Microsoft corregge un bug CVSS 10.0 in Azure AI Foundry senza azione dei clienti

Il 17 settembre 2026 Microsoft ha reso pubblica la correzione di una vulnerabilità di massima gravità in Azure AI Foundry, la piattaforma enterprise per il deployment di applicazioni e agenti di intelligenza artificiale generativa. La falla, catalogata come CVE-2026-85889, ha ottenuto il punteggio CVSS 10.0 su 10: il massimo possibile. Il vendor ha mitigato il problema lato servizio, senza richiedere patch o interventi ai tenant. La notizia solleva però una tensione strutturale: quando la sicurezza diventa invisibile, chi verifica che sia davvero stata applicata?

Il nucleo tecnico: autenticazione assente su funzione critica

Secondo l'advisory ufficiale del Microsoft Security Response Center, la vulnerabilità risiede in una "funzione critica" di Azure AI Foundry — piattaforma nota anche come Microsoft Foundry per la costruzione, il deployment e la gestione di applicazioni AI generativa — alla quale si poteva accedere via rete senza alcuna forma di autenticazione. La classificazione CWE-306 (Missing Authentication for Critical Function) definisce esattamente questa categoria di difetto: un'operazione sensibile esposta a chiunque possa raggiungerla.

Il vector string CVSS:3.1, riportato da MSRC con precisione, è AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Tradotto: l'attacco è remoto (Network), la complessità è bassa (Low), non servono privilegi (None), non serve interazione utente (None), lo scope cambia — l'impatto supera i confini del componente direttamente vulnerabile — e la compromissione è totale su riservatezza, integrità e disponibilità (tutte High). Il calcolo produce 10.0, il punteggio massimo del framework.

Microsoft descrive il risultato come "privilege escalation", non come Remote Code Execution: l'attaccante non autenticato elevava i propri privilegi nel contesto del servizio, con le implicazioni di accesso esteso che il punteggio S:C (Scope Changed) sottolinea. Il dossier non specifica quale funzione esatta fosse esposta, né i dettagli del meccanismo di escalation — nome dell'endpoint, livello di privilegio ottenuto, catena di chiamate — restano non divulgati.

"Missing authentication for critical function in Azure AI Foundry allows an unauthorized attacker to elevate privileges over a network" — Microsoft Security Response Center, advisory CVE-2026-85889

La mitigazione invisibile e il problema della verificabilità

Microsoft ha affrontato la vulnerabilità con il modello operativo tipico dei servizi cloud gestiti: la correzione è stata applicata infrastruttura-side, senza release client-side da installare. L'advisory MSRC recita testualmente: "The vulnerability documented by this CVE requires no customer action to resolve" e aggiunge: "This vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take." La finalità della divulgazione, specifica ancora il vendor, è "provide further transparency".

Questa architettura di patch "fantasma" — corretta, deployata, invisibile — costituisce il paradosso centrale dell'angolo editoriale. Per i CISO e i team di sicurezza delle aziende che hanno modelli proprietari, dataset di training o pipeline integrate su Azure AI Foundry, l'assenza di un artefatto verificabile (un pacchetto da scaricare, una versione da controllare, un log da confrontare) rende opaca l'audit dello stato di sicurezza. La fiducia si sposta dalla verifica indipendente alla dichiarazione del vendor.

Il contesto amplifica la rilevanza. Nella settimana del Patch Tuesday precedente Microsoft ha corretto 974 vulnerabilità, di cui due sotto exploit attivo secondo quanto riportato da The Hacker News. CVE-2026-85889 emerge da un batch di advisory che include anche CVE-2026-85885 (Copilot, CVSS 9.9), CVE-2026-85878 (PostgreSQL, CVSS 9.9), CVE-2026-87701 (Cosmos DB, CVSS 9.6) e CVE-2026-62721 (Windows UMPS, CVSS 7.8). La concentrazione di gravità elevata in servizi AI e dati è un segnale sistemico, non un caso isolato.

Chi ha scoperto la falla e cosa sappiamo dell'exploitation

Il ricercatore Rémy Marot, identificato sui social con il handle @R_Marot, è stato accreditato da Microsoft per la scoperta e la segnalazione responsabile. Le fonti convergenti — MSRC come fonte primaria, The Hacker News come prima fonte editoriale con dettagli completi, Cryptika per l'analisi del contesto enterprise — non riportano la pubblicazione di un proof-of-concept o di un exploit da parte del ricercatore.

Sul fronte della minaccia attiva, Microsoft indica nello stesso advisory che la valutazione di exploitabilità riporta "Exploited: No". The Hacker News, riferendo la dichiarazione del vendor, conferma: non esistono evidenze che la vulnerabilità sia stata sfruttata in-the-wild. Questa assenza di segnali di exploitation non riduce la gravità intrinseca — il CVSS 10.0 riflette il potenziale, non l'occorrenza — ma delimita lo scenario di rischio immediato.

Restano non specificati dalla fonte: la data di introduzione del bug nel codice, la durata della finestra di esposizione prima della correzione, l'esistenza o meno di log retroattivi consultabili dai clienti per verificare accessi anomali, e il confronto con vulnerabilità analoghe in piattaforme AI competitive come AWS Bedrock o Google Vertex AI.

Cosa fare adesso

La situazione non richiede azioni correttive immediate da parte dei tenant di Azure AI Foundry, ma solleva priorità di governance che i team di sicurezza devono affrontare in modo strutturato:

• Verificare l'inventario dei servizi AI cloud: mappare quali team aziendali utilizzano Azure AI Foundry, con quali permessi e quali integrazioni downstream, per avere visibilità sulla superficie di attacco anche quando il vendor gestisce la patch.
• Rivendicare trasparenza contrattuale: inserire nei discussioni con Microsoft o nei review del CSA (Cloud Security Alliance) la richiesta di timeline di patch, scope di compensating controls e accesso a log di sicurezza rilevanti per audit indipendenti.
• Monitorare la ricerca di Marot e l'ecosistema CVE: la pubblicazione del dettaglio tecnico potrebbe avvenire nei prossimi mesi; i CISO devono tracciare se e quando emergono tecniche di exploitation o varianti della stessa classe di weakness.
• Valutare il modello di responsabilità condivisa: il caso CVE-2026-85889 è un stress test del confine tra sicurezza gestita dal vendor e accountability del cliente; i framework di risk management devono esplicitare chi detiene la prova della mitigazione.

Il segnale per l'enterprise AI: gravità massima, controllo minimo

Il bug in Azure AI Foundry non è un errore di configurazione d'utente né una complessità marginale: è un difetto di autenticazione in una piattaforma centrale dell'offerta AI di Microsoft, con impatto potenzialmente esteso a modelli, dati e risorse integrate. Che la correzione sia avvenuta silenziosamente è funzionalmente positivo per la continuità operativa, ma introduce una forma di debito di verificabilità che il settore enterprise non ha ancora standardizzato.

L'adozione accelerata di piattaforme AI gestite — Foundry, Copilot, servizi analoghi — sta espandendo la superficie di attacco con componenti dove il controllo tecnico è delegato e la visibilità è filtrata. CVE-2026-85889 dimostra che questa delega può includere vulnerabilità di gravità massima. La domanda non è se Microsoft abbia corretto: lo ha fatto, e la fonte primaria lo documenta. La domanda è se le organizzazioni che vi affidano asset critici abbiano gli strumenti per saperlo con le loro stesse verifiche.

Domande frequenti

I clienti devono installare qualcosa per CVE-2026-85889?

No. Secondo l'advisory ufficiale Microsoft Security Response Center la vulnerabilità è stata completamente mitigata lato servizio e non è richiesta alcuna azione da parte degli utenti di Azure AI Foundry.

Perché il punteggio è 10.0 se non c'è stato exploit?

Il CVSS misura il potenziale di danno di una vulnerabilità, non la frequenza di attacchi. Il vector string AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H descrive un attacco remoto, senza prerequisiti, con impatto totale e scope esteso: la formula produce 10.0 per costruzione matematica.

Che differenza c'è tra CVE-2026-85889 e le altre CVE dello stesso batch?

CVE-2026-85889 è l'unica del gruppo con CVSS 10.0 e riguarda specificamente Azure AI Foundry con missing authentication (CWE-306). Le altre — CVE-2026-85885 (Copilot), CVE-2026-85878 (PostgreSQL), CVE-2026-87701 (Cosmos DB) — sono vulnerabilità distinte con prodotti, meccanismi e gravità diverse.

Fonti

• https://thehackernews.com/2026/09/microsoft-patches-cvss-100-azure-ai.html
• https://thomasharris6.wordpress.com/2026/09/18/microsoft-patches-cvss-10-0-azure-ai-foundry-flaw-enabling-unauthorized-privilege-escalation/
• https://www.guardianmssp.com/2026/09/18/microsoft-patches-cvss-10-0-azure-ai-foundry-flaw-enabling-unauthorized-privilege-escalation/
• https://www.cryptika.com/critical-microsoft-azure-ai-foundry-vulnerability-allows-attackers-to-escalate-privileges/
• https://www.strix.ai/cve/CVE-2026-85889
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85889
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85885
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85878
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-87701
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62721

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti