Уязвимость раскрытия информации в M365 Copilot (CVE-2026-85887)
В Microsoft 365 Copilot обнаружена уязвимость неправильного назначения прав доступа к критическому ресурсу, позволяющая авторизованному злоумышленнику раскрывать информацию по сети. Проблема затрагивает пользователей сервиса M365 Copilot и получила оценку CVSS 7.7 (HIGH). Рекомендуется незамедлительно применить обновления и проверить настройки разрешений.
Подробности
Уязвимости присвоен идентификатор CVE-2026-85887. Базовый показатель CVSS составляет 7.7, что соответствует высокому уровню опасности. Уязвимый продукт — Microsoft 365 Copilot. Суть проблемы заключается в некорректной конфигурации разрешений для критического ресурса. Эксплуатация возможна авторизованным злоумышленником, то есть атакующему необходим действующий аккаунт в целевой среде. Это снижает порог входа, поскольку типичные сценарии включают внутреннего нарушителя, скомпрометированную учётную запись легитимного сотрудника или злоумышленника, получившего доступ к рабочему пространству через фишинговые или иные методы. Воздействие осуществляется по сети, что допускает удалённую эксплуатацию без физического доступа к инфраструктуре. Ключевая опасность связана с природой самого сервиса: M365 Copilot обрабатывает и агрегирует данные из почты, документов, чатов, календарей и других источников организации. Некорректное назначение прав доступа может позволить злоумышленнику получить сведения, к которым его учётная запись не должна иметь доступа — включая потенциально конфиденциальную корпоративную информацию. Точные технические детали эксплуатации и конкретные затронутые версии в публичной записи CVE не раскрываются.Что делать
Основная рекомендация — своевременно установить обновления, выпущенные Microsoft для устранения уязвимости. Организациям следует отслеживать официальные бюллетени безопасности вендора и применять патчи в приоритетном порядке, учитывая высокий рейтинг CVSS. Дополнительные меры снижения риска:- Провести аудит назначенных разрешений и прав доступа в среде M365 Copilot и связанных сервисах Microsoft 365.
- Ограничить число учётных записей с расширенными привилегиями и применять принцип минимальных привилегий.
- Включить многофакторную аутентификацию для всех пользователей, чтобы снизить вероятность компрометации учётных данных.
- Настроить мониторинг аномальной активности и логирование доступа к критическим ресурсам.
- При отсутствии возможности немедленного обновления рассмотреть временное ограничение доступа к затронутому функционалу.
Источник: CVE Project (cvelistV5)