Microsoft Azure Schwachstelle: BSI stuft Advisory als kritisch ein

Seit dem 16. Oktober 2026 führt das BSI eine Microsoft Azure Schwachstelle mit der Risikostufe „kritisch": Das Advisory WID-SEC-2026-2951 listet mehrere Schwachstellen in Microsoft Azure, Microsoft Entra ID und Microsoft Exchange Online. Der Kurztext nennt Codeausführung, Rechteausweitung und die Offenlegung vertraulicher Informationen als mögliche Folgen. Damit stehen drei Dienste im Blick, die in vielen Cloud-First-Umgebungen Identität, Mailkommunikation und Workloads tragen. Was bislang fehlt, ist die Grundlage für eine belastbare Dringlichkeitsbewertung: CVE-Nummern, betroffene Versionen, Angriffsvektoren und ein Patch-Status.

Microsoft Azure Schwachstelle: Was das BSI-Advisory belegt — und was nicht

Belegt ist zunächst nur der Rahmen. In der Übersicht der Technischen Sicherheitshinweise und Warnungen ist die Meldung unter dem Titel „[UPDATE] [kritisch] Microsoft Azure, Entra ID und Exchange: Mehrere Schwachstellen" mit Veröffentlichungsdatum 16. Oktober 2026 geführt. Titel, Datum und Einstufung sind damit bestätigt — mehr nicht.

Der Volltext des Advisory-Abrufs beschränkt sich auf den Portalheader des Warn- und Informationsdienstes. Es finden sich keine CVE-IDs, keine Versionsstände, keine Angaben zum Angriffsvektor und keine Maßnahmen. Wer den Eintrag öffnet, sieht eine als kritisch gelabelte Meldung ohne die Details, die eine solche Einstufung sonst tragen. Für Admins heißt das: Die Risikostufe ist eine Bewertung des BSI, eine unabhängige technische Analyse der einzelnen Lücken liegt nicht vor.

Offen bleibt auch, was das Präfix „UPDATE" bedeutet. Ob damit eine bestehende Meldung um Details ergänzt wurde, die Risikostufe angehoben wurde oder nur eine redaktionelle Korrektur erfolgte, lässt sich aus den verfügbaren Quellen nicht ableiten. Eine Spekulation über eine Eskalation von „mittel" auf „kritisch" wäre an dieser Stelle nicht gedeckt.

Entra ID und Exchange Online: warum die Einstufung wiegt

Aussagekräftiger als die Risikostufe ist die Auswahl der Produkte. Entra ID ist in zahllosen Umgebungen der zentrale Identity-Provider, über den Anmeldungen, bedingte Zugriffsrichtlinien und Service-Principals verwaltet werden. Eine Rechteausweitung an dieser Stelle wirkt nicht auf einen einzelnen Dienst, sondern potenziell auf die gesamte Zugriffskette einer Organisation. Exchange Online ergänzt das, weil Postfächer und Mailfluss oft dieselbe Identität nutzen. Azure kommt als Ausführungsort der Workloads hinzu.

Genau deshalb ist die Meldung relevant, obwohl ihr die technische Substanz fehlt: Sie betrifft Dienste, die in der Standardkonfiguration vieler Organisationen aktiv sind. Ob die Schwachstellen tatsächlich in einer Standardkonfiguration ausnutzbar sind, ob Authentifizierung vorausgesetzt wird und ob eine Nutzerinteraktion nötig ist — all das steht nicht in den vorliegenden Quellen. Ohne diese Angaben ist die Einstufung „kritisch" ein Signal zum Prüfen, kein Maß für akuten Handlungsdruck.

Patch-Status: bislang nicht belegt

Der Advisory-Volltext enthält weder Patch-Verfügbarkeit noch Workarounds. Ein belastbarer Satz wie „Microsoft hat Version X nachgeliefert" ist mit den vorhandenen Quellen nicht möglich, und er wird hier auch nicht konstruiert. Wer den Stand verifizieren will, hat zwei Wege: den WID-Eintrag beobachten, der laufend aktualisiert wird, und im eigenen Tenant prüfen, ob Microsoft-Sicherheitsupdates für die betroffenen Dienste anstehen.

Dass Microsoft in großem Takt nachliefert, ist für die Einordnung nützlich, ersetzt aber keine Patch-Aussage: Für Juni 2026 ist das übliche Korrekturvolumen samt Disclosure-Lage dokumentiert (Patch-Tuesday-Rückblick Juni 2026); ein Bezug zu WID-SEC-2026-2951 besteht nicht. Ebenso wenig gibt es einen Nachweis, dass die aktuell gemeldeten Lücken bereits aktiv ausgenutzt werden. Wer das Gegenteil behauptet, muss eine Quelle liefern.

Einordnung: verwandte CVEs sauber trennen

Rund um Entra ID und Exchange kursieren mehrere CVEs, die nicht zu dieser Meldung gehören. Ein Beispiel ist CVE-2026-24305, eine kritische Rechteausweitung in Azure Entra ID (CWE-285, fehlerhafte Autorisierung), die ohne Anmeldung über das Netzwerk und ohne Nutzerinteraktion ausnutzbar sein soll; veröffentlicht wurde sie im Januar 2026. Sie zeigt das Muster, wie solchen Fehlern in Identitätsdiensten begegnet wird — als Bestandteil von WID-SEC-2026-2951 ist sie nicht belegt.

Ein separater Vorgang bleibt auch WID-SEC-2026-3834 vom 10. Oktober 2026: Diese Meldung wird mit der Risikostufe „mittel" geführt und nennt potenziell Azure-Dienste sowie Exchange, Office und Teams — ohne vergebene CVE-Nummern. Beide Meldungen dürfen nicht vermischt werden, auch wenn die Produktliste ähnlich klingt.

Fazit: Prüfen statt Patch-Versprechen

Die Meldung ist ein Arbeitsauftrag, keine bestätigte Krise. Konkret bedeutet das: WID-SEC-2026-2951 im Blick behalten, im Tenant die Microsoft-Sicherheitsupdates und Service-Meldungen für Azure, Entra ID und Exchange Online durchgehen und bei Entra ID die Auftragsvergabe im Blick behalten — also ungewöhnliche Rollenzuweisungen und neue Service-Principals in den Audit-Logs. Ob das reicht, hängt an Informationen, die bislang niemand öffentlich gemacht hat. Sobald CVE-Nummern, betroffene Versionen oder ein Ausnutzungsnachweis auftauchen, ändert sich die Dringlichkeit — vorher nicht.

Quellen