Azure DevOps CVE-2026-42826: Kritische Information-Disclosure-Lücke (CVSS 10.0) – Microsoft hat serverseitig mitigiert

Microsoft hat am 7. Mai 2026 die Schwachstelle CVE-2026-42826 in Azure DevOps offengelegt. Die Lücke trägt nach Microsoft-Bewertung den höchstmöglichen CVSS-Score von 10.0 (CRITICAL) und erlaubt es unauthentifizierten Angreifern, über das Netzwerk sensible Informationen wie Deployment-Credentials, Cloud-Secrets, CI/CD-Tokens und Quellcode offenzulegen. Microsoft hat die Schwachstelle bereits proaktiv in der eigenen Cloud-Infrastruktur behoben – für Kunden von Azure DevOps Services ist keine Aktion erforderlich. Bemerkenswert ist die abweichende Einstufung durch das NIST, das die Lücke mit CVSS 7.5 (HIGH) bewertet.

Die Schwachstelle

Bei CVE-2026-42826 handelt es sich um eine Information-Disclosure-Schwachstelle vom Typ CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor). Der Angriffsvektor ist das Netzwerk: Ein Angreifer benötigt weder eine vorherige Authentifizierung noch eine Benutzerinteraktion, um die Lücke auszunutzen. Betroffen sind nach Microsoft-Angaben alle Versionen von Azure DevOps.

Die offenlegbaren Daten umfassen laut den verfügbaren Informationen Deployment-Credentials, Cloud-Secrets, CI/CD-Tokens, Infrastruktur-Konfigurationen sowie Quellcode – also genau jene Werte, die in modernen DevOps-Umgebungen den Schlüssel zu Produktionssystemen und Lieferketten bilden. Die Diskrepanz zwischen der Microsoft-Wertung von 10.0 und der NIST-Wertung von 7.5 ergibt sich aus unterschiedlichen Annahmen zu Integrity- und Availability-Impact. Während NIST den Schwerpunkt auf die reine Vertraulichkeitsverletzung legt, bewertet Microsoft die potenziellen Folgeschäden höher. Zum Zeitpunkt der Veröffentlichung war kein öffentlicher Proof-of-Concept bekannt.

Bin ich betroffen?

Die Schwachstelle betrifft die Azure-DevOps-Plattform selbst, nicht eine vom Kunden installierte Software-Version. Wer Azure DevOps Services in der Microsoft-Cloud nutzt, war potenziell exponiert – allerdings wurde die Lücke serverseitig durch Microsoft geschlossen, bevor eine kundenseitige Reaktion nötig wurde.

Eine eigene Versionsprüfung oder das Einspielen eines Patches ist für Cloud-Kunden daher nicht erforderlich. Da die Mitigation in der Infrastruktur erfolgte, gibt es keinen Update-Befehl, den Administratoren ausführen müssten. Organisationen mit hohem Sicherheitsbedarf können dennoch prüfen, welche Pipelines und Service-Verbindungen in der Vergangenheit potenziell sensible Secrets gehalten haben, und im Zweifel eine Rotation einleiten.

Wie behebe ich das?

Microsoft hat die Schwachstelle bereits proaktiv in der Cloud-Infrastruktur behoben. Kunden von Azure DevOps Services müssen keine Maßnahmen ergreifen, um die konkrete Lücke zu schließen. Unabhängig von diesem Einzelfall empfiehlt sich jedoch eine generelle Härtung der DevOps-Umgebung als Vorsorge.

Empfohlene Schritte zur Vorsorge:

1. Audit der Pipeline-Berechtigungen: Überprüfung, welche Pipelines auf welche Ressourcen und Service-Verbindungen zugreifen dürfen.
2. Review der Secret-Management-Praktiken: Secrets nicht im Klartext in Variablen oder Repositories ablegen, sondern über abgesicherte Secret-Stores verwalten und regelmäßig rotieren.
3. Begrenzung des Job-Authorization-Scope: Den Berechtigungsumfang einzelner Jobs auf das notwendige Minimum reduzieren, um Lateral Movement im Schadensfall zu erschweren.

Diese Maßnahmen reduzieren die Angriffsfläche generell – auch gegen künftige, noch unbekannte Schwachstellen in der CI/CD-Kette.

Was bedeutet das für Unternehmen?

Für Organisationen, die Azure DevOps einsetzen, wäre ein erfolgreicher Angriff auf diese Lücke gravierend gewesen: Unbefugter Zugriff auf Quellcode, Deployment-Secrets, API-Keys, Konfigurationen und CI/CD-Pipelines könnte zu Diebstahl geistigen Eigentums, Supply-Chain-Kompromittierung und Lateral Movement in Cloud-Infrastrukturen führen. Die Microsoft-Höchstbewertung von CVSS 10.0 unterstreicht dieses Risiko.

Der akute Handlungsdruck für Kunden ist durch die serverseitige Mitigation deutlich reduziert – ein Patch-Notfall, wie ihn lokal installierte Software auslösen würde, entfällt. Der Fall illustriert dennoch einen zentralen Punkt der Cloud-Sicherheit: Bei verwalteten Diensten kann der Anbieter eine kritische Lücke schließen, bevor sie für Kunden überhaupt zur Handlungsaufforderung wird. Gleichzeitig zeigt die abweichende Bewertung zwischen Microsoft und NIST, dass CVSS-Scores allein nicht ausreichen – die konkrete Einordnung des Datenrisikos und der eigenen Architektur bleibt Aufgabe der jeweiligen Organisation.

Quellen: NIST NVD – CVE-2026-42826 Detail, Microsoft MSRC – Vulnerability CVE-2026-42826, CVE.org Official Registry, The Register, CrowdStrike Blog, TheHackerWire.