Azure DevOps: Ungenügende Authentifizierung führt zu Remote Code Execution
Zusammenfassung
Eine ungenügende Authentifizierung in Microsoft Azure DevOps erlaubt einem Angreifer mit einem gültigen, niedrig privilegierten Konto, Code über das Netzwerk auszuführen. Die Bewertung mit geändertem Scope bedeutet, dass die Auswirkungen über die verwundbare Komponente hinausgehen können. Die CVE ist mit CVSS 9.9 (Critical) bewertet, und die Analyse durch die NVD war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Betroffen
- Gemäss CVE-Eintrag: Microsoft Azure DevOps 1.0.0 bis vor dem Veröffentlichungsdatum (nicht verifiziert)
- Gemäss CVE-Eintrag: Azure DevOps Server 2025 1.0.0.0 bis vor Patch 9 (nicht verifiziert)
- Azure DevOps Services (Cloud) wird von Microsoft betrieben; ob es betroffen ist, ist unbekannt.
Behoben in
Unbekannt. Azure DevOps Server Patch 9 wurde am 13. Okt. 2026 veröffentlicht, es ist jedoch nicht bestätigt, dass er den Fix für diese CVE enthält. Die Sicherheitsmitteilung von Microsoft prüfen.
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert. Allgemeine Übergangsmassnahmen: Netzwerkzugriff auf den Azure DevOps Server einschränken, Konten mit Zugriff prüfen und Authentifizierungsprotokolle überwachen.
Ausnutzung
- Ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Es wurde kein öffentlicher Proof of Concept gefunden; die Suche war eingeschränkt.
Unsere Empfehlung
- Den Microsoft Security Update Guide auf betroffene Produkte, Versionen und Fixes prüfen und bestätigen, ob Ihre Umgebung betroffen ist.
- Alle selbst gehosteten Azure DevOps Server Instanzen, deren Versionen und die Erreichbarkeit aus dem Internet erfassen.
- Den Herstellerfix so bald wie möglich einspielen, sobald er bestätigt ist; bis dahin die Netzwerkexposition einschränken.
- Konten mit Zugriff prüfen, einschliesslich Vertrags- und Konten mit niedrigen Rechten, und nicht benötigte entfernen.
- Authentifizierungsprotokolle auf ungewöhnliche Aktivitäten überwachen und NVD sowie CISA KEV nach Abschluss der Analyse erneut prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-109467 msrc.microsoft.com
- Azure DevOps Server release notes learn.microsoft.com
- Azure DevOps Server Patch 9 security fixes (October 2026) windowsforum.com
- OffSeq threat radar: CVE-2026-109467 radar.offseq.com
- Azure DevOps Server (Wikipedia) en.wikipedia.org
- SentinelOne: CVE-2023-21553 (similar earlier flaw, context only) www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.