Rund um die Sicherheitskonferenz Black Hat 2026 sind gleich mehrere schwerwiegende Schwachstellen in der Cloud-Infrastruktur von Microsoft bekannt geworden. Es handelt sich um zwei voneinander unabhängige Meldungen: eine Lücke in Azure Automation, über die Angreifer die Identität fremder Mandanten hätten übernehmen können, sowie drei Schwachstellen zur Remote-Code-Ausführung, die eine KI-gestützte Forschungsfirma unter anderem in der Bilder-Suche von Bing gefunden hat. Die gute Nachricht vorweg: Microsoft hat alle betroffenen Dienste bereits serverseitig korrigiert. Für Endnutzer gibt es nichts zu tun. Trotzdem lohnt der Blick, denn die zugrunde liegenden Fehlermuster betreffen auch selbst betriebene Systeme.

Azure Automation: Übernahme fremder Mandanten möglich

Azure Automation nutzen viele Unternehmen für wiederkehrende Aufgaben in der Cloud, etwa für die Bereitstellung von Ressourcen, das Einspielen von Updates oder das Rotieren von Geheimnissen. Dazu laufen skriptbasierte Runbooks, die mit sogenannten verwalteten Identitäten verknüpft sind. Diese Identitäten besitzen oft weitreichende Rechte.

Shay Shavit, ein Sicherheitsforscher aus Microsofts eigenem Azure-Networking-Security-Team, entdeckte hier eine kritische Schwachstelle und meldete sie an das Microsoft Security Response Center. Sie wird als CVE-2025-29827 geführt und mit dem sehr hohen CVSS-Wert von 9.9 bewertet. Das Problem entstand aus einer Kette von drei Fehlern: einer Standardeinstellung, die Automation-Konten öffentlich erreichbar machte, kombiniert mit zwei weiteren Fehlern auf Code-Ebene.

In der Folge hätte ein Angreifer, der lediglich ein eigenes Azure-Automation-Konto besitzt, die Vertrauensgrenze zwischen den Mandanten durchbrechen und die Automation-Identität einer fremden Organisation übernehmen können. Damit wäre der Zugriff auf deren Daten, Anmeldeinformationen und Cloud-Ressourcen möglich gewesen, inklusive dem Anlegen, Ändern oder Löschen von Ressourcen. Laut Microsoft gibt es keine Hinweise auf eine tatsächliche Ausnutzung. Die riskante Standardeinstellung wurde geändert, ein Konto ist nun nicht mehr automatisch öffentlich. Details will Shavit auf der Black Hat USA 2026 (1. bis 6. August in Las Vegas) vorstellen.

Drei RCE-Lücken durch ein einziges manipuliertes Bild

Azure Automation nutzen viele Unternehmen für wiederkehrende Aufgaben in der Cloud, etwa für die Bereitstellung von Ressourcen, das Einspielen von Updates oder das Rotieren von Geheimnissen. Dazu laufen skriptbasierte Runbooks, die mit sogenannten verwalteten Identitäten verknüpft sind. Diese Identitäten besitzen oft weitreichende Rechte.

Shay Shavit, ein Sicherheitsforscher aus Microsofts eigenem Azure-Networking-Security-Team, entdeckte hier eine kritische Schwachstelle und meldete sie an das Microsoft Security Response Center. Sie wird als CVE-2025-29827 geführt und mit dem sehr hohen CVSS-Wert von 9.9 bewertet. Das Problem entstand aus einer Kette von drei Fehlern: einer Standardeinstellung, die Automation-Konten öffentlich erreichbar machte, kombiniert mit zwei weiteren Fehlern auf Code-Ebene.

In der Folge hätte ein Angreifer, der lediglich ein eigenes Azure-Automation-Konto besitzt, die Vertrauensgrenze zwischen den Mandanten durchbrechen und die Automation-Identität einer fremden Organisation übernehmen können. Damit wäre der Zugriff auf deren Daten, Anmeldeinformationen und Cloud-Ressourcen möglich gewesen, inklusive dem Anlegen, Ändern oder Löschen von Ressourcen. Laut Microsoft gibt es keine Hinweise auf eine tatsächliche Ausnutzung. Die riskante Standardeinstellung wurde geändert, ein Konto ist nun nicht mehr automatisch öffentlich. Details will Shavit auf der Black Hat USA 2026 (1. bis 6. August in Las Vegas) vorstellen.

Drei RCE-Lücken durch ein einziges manipuliertes Bild

Die zweite Meldung stammt von XBOW, einem autonomen, KI-gestützten Sicherheitsforscher, der als erste KI in die Top 10 des Microsoft-Bug-Bounty-Programms aufgestiegen sein soll. XBOW meldete drei kritische Schwachstellen zur Remote-Code-Ausführung, die Microsoft alle als kritisch mit dem CVSS-Wert 9.8 einstuft.

• CVE-2026-32194: Befehlsinjektion in der Bildverarbeitung von Bing, erreichbar über die öffentliche Funktion Suche per Bild (Search by Image).
• CVE-2026-32191: dieselbe Schwachstellenklasse auf einem zweiten Weg, nämlich über den Crawler der umgekehrten Bildersuche, der ein vom Angreifer bereitgestelltes Bild von einer beliebigen Adresse abruft.
• CVE-2026-21536: eine davon unabhängige Lücke im Microsoft Devices Pricing Program, die das unbeschränkte Hochladen ausführbarer Dateien erlaubte.

Der Kern der beiden Bing-Lücken ist ein altbekanntes Muster. Bing verarbeitete hochgeladene Bilder serverseitig mit einer Software nach Art von ImageMagick. Solche Programme reichen bestimmte Dateiformate an Hilfsprogramme weiter, die sogenannten Delegates. Da SVG-Dateien auf XML basieren, lassen sich darin Verweise auf externe Ressourcen unterbringen. XBOW konstruierte eine nur ein Pixel große SVG-Datei, deren Verweis mit einem Pipe-Zeichen begann. Die Bildbibliothek behandelte diesen Verweis nicht als Dateinamen, sondern übergab ihn an die Kommandozeile und führte ihn als Betriebssystembefehl aus.

Der Einstieg war zunächst eine unscheinbare Server-Side Request Forgery, kurz SSRF. Dabei bringt man einen Server dazu, eine vom Angreifer bestimmte Adresse abzurufen. Auffällig wurden die Forscher durch ausgehende Anfragen mit der Kennung bingbot/2.0 und durch unregelmäßige HTTP-500-Fehler, die darauf hindeuteten, dass im Hintergrund mehr passierte als ein bloßer Bildabruf. Am Ende lief der eingeschleuste Befehl mit höchsten Rechten, als NT AUTHORITY\SYSTEM auf Windows-Servern und als root auf Linux-Systemen der Bing-Infrastruktur. Das Muster ist nicht neu, es entspricht der ImageTragick-Lücke (CVE-2016-3714) aus dem Jahr 2016.

Microsoft hat beide Bing-Lücken bereits im März 2026 serverseitig behoben, also bevor XBOW am 23. Juli 2026 die technischen Details veröffentlichte. In den Advisories vermerkt Microsoft, dass für Kunden nichts zu tun ist und keine Ausnutzung bekannt wurde.

Für private Nutzer und für reine Anwender von Bing oder Azure besteht kein Handlungsbedarf. Die Lücken lagen in der Infrastruktur von Microsoft und sind dort geschlossen. Interessant sind die Vorfälle vor allem als Lehrstück.

Der Fall Azure Automation zeigt, wie eine einzelne unglückliche Standardeinstellung zusammen mit kleinen Programmierfehlern zu einem Totalschaden führen kann. Wer Azure Automation selbst nutzt, sollte prüfen, ob wirklich nur das nach außen erreichbar ist, was gebraucht wird, und den Umfang der vergebenen Identitäten und Token regelmäßig kontrollieren.

Die Bing-Lücken sind eine Warnung an alle, die selbst Bilder-Uploads oder das serverseitige Abrufen von Bild-URLs anbieten, etwa in Web-Shops, Kundenportalen oder bei der Identitätsprüfung. Genau dieselbe ImageMagick-Schwachstellenklasse steckt bis heute in vielen selbst betriebenen Systemen. Ein Angreifer braucht dafür weder ein Konto noch eine Interaktion des Opfers.