Microsoft Partner Center: Fehlerhafte Zertifikatsprüfung führt zu Rechteerweiterung
Zusammenfassung
Microsoft Partner Center, das cloudbasierte Verwaltungsportal von Microsoft für Partner und Wiederverkäufer, enthält eine fehlerhafte Zertifikatsprüfung (CWE-295). Gemäss Microsoft kann ein netzwerkseitig erreichbarer Angreifer ohne Berechtigungen und ohne Benutzerinteraktion seine Rechte erweitern, mit hoher Auswirkung auf Vertraulichkeit und Integrität (CVSS 10.0). Kunden können den Dienst nicht selbst patchen, da Microsoft die Korrektur auf seiner Seite einspielt. Das Hauptrisiko für KMU ist indirekt, über ihren Managed Service Provider oder IT-Partner, dessen Partner-Center-Zugriff betroffen sein könnte.
Betroffen
- Microsoft Partner Center (Cloud-Dienst)
- Betroffene Versionen: Unbekannt. Microsoft veröffentlicht keine Versions- oder Build-Nummern.
Behoben in
- Unbekannt. Microsoft spielt die Korrektur serverseitig ein; Kunden müssen nichts unternehmen.
Umgehung
- Gemäss Microsoft sind kundenseitig keine Massnahmen erforderlich.
- Drittanbieter-Empfehlungen nennen Netzwerksegmentierung und Egress-Filterung als allgemeine Härtung; dies ist keine Herstellerkorrektur.
Ausnutzung
- Microsoft: nicht öffentlich bekannt, nicht ausgenutzt, Ausnutzbarkeit eingestuft als "Exploitation Less Likely".
- Kein öffentlicher Proof-of-Concept gefunden.
- Ein Talos-Bericht erwähnt eine im Oktober 2026 in freier Wildbahn ausgenutzte Schwachstelle, nennt aber diese CVE nicht; die Liste ausgenutzter Schwachstellen von MSRC ist zu prüfen.
- Status im CISA-KEV-Katalog: nicht verifiziert.
Unsere Empfehlung
- Kundenseitig ist keine Patch-Aktion erforderlich.
- Partnerseitig: MSPs und IT-Partner sollten die Partner-Center-Admin- und Delegationsprotokolle für Oktober 2026 prüfen.
- MFA aktiviert lassen und Delegationen nach dem Least-Privilege-Prinzip vergeben.
- Das MSRC-Advisory auf Aktualisierungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-96207 msrc.microsoft.com
- MSRC advisory CVE-2026-96207 (en-US) msrc.microsoft.com
- Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
- Intruder CVE overview CVE-2026-96207 cvemon.intruder.io
- CIRCL record CVE-2026-96207 vulners.com
- The Hacker Wire: CVE-2026-96207 overview www.thehackerwire.com
- The Hacker Wire: CVE-2026-96207 analysis www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.