CVE-2026-42824 in Microsoft 365 Copilot Enterprise Copilot-Lücke SearchLeak ermöglicht Datendiebstahl per Klick

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

ine Schwachstellenkette in Microsoft 365 Copilot Enterprise ermöglicht mit einem einzigen Klick auf einen präparierten Suchlink die stille Exfiltration von Postfach, Kalender und Dateien an einen fremden Server. Da der Angriffslink auf eine echte microsoft.com-Adresse zeigt, greifen klassische Phishing-Filter nicht. Microsoft hat die Lücke serverseitig geschlossen.

Die Schwachstellenkette mit dem Namen SearchLeak betrifft die Enterprise-Suche von Microsoft 365 Copilot und wird unter CVE-2026-42824 geführt. Sie verbindet drei einzeln beherrschbare Schwächen zu einem stillen Abfluss von Daten. Den Anfang macht eine KI-spezifische Lücke, die den Suchparameter einer URL in eine ausführbare Anweisung an das Sprachmodell verwandelt. Da der Angriffslink auf eine echte microsoft.com-Adresse zeigt, greifen klassische Phishing- und URL-Filter nicht.

Suchparameter wird zur KI-Anweisung

Die Enterprise-Suche von Copilot nimmt einen Suchparameter in der URL entgegen, der für natürlichsprachige Abfragen vorgesehen ist. Das Sprachmodell führt dessen Inhalt jedoch als Anweisung aus. Ein Angreifer formuliert darin den Auftrag, das Postfach zu durchsuchen, einen Betreff auszulesen und in eine Bild-URL einzubetten. Das Opfer tippt nichts ein, der Klick auf den Link reicht aus. Varonis beobachtete dieselbe Technik zuvor unter dem Namen Reprompt in der Personal-Variante und fand sie trotz zusätzlicher Schutzmechanismen auch in der Enterprise-Umgebung wieder.

Umgehung von Sicherheitsfunktionen

Erste Zero-Click-Schwachstelle in Copilot entdeckt

Race Condition und SSRF über Bing

Microsoft kapselt KI-Antworten nachträglich in Code-Blöcke, damit der Browser sie als Text behandelt und enthaltenes Markup nicht ausführt. Die Kapselung greift erst nach Abschluss der Generierung. Im Streaming-Vorgang landet das rohe HTML kurzzeitig im DOM. Der Browser erkennt das eingebettete img-Element, rendert es und schickt sofort eine HTTP-Anfrage an die hinterlegte Quelle. Bis die Bereinigung die Ausgabe einschließt, hat die Anfrage das System bereits verlassen.

Die Content Security Policy der Copilot-Domäne beschränkt, von welchen Adressen Bilder geladen werden dürfen, und blockiert einen direkten Verweis auf einen Angreifer-Server. Auf der Freigabeliste steht jedoch bing.com. Die Funktion Search by Image von Bing nimmt eine Bild-URL als Parameter entgegen und ruft diese serverseitig ab. Der Abruf läuft über die Infrastruktur von Bing und damit außerhalb des Browsers, sodass die Content Security Policy nicht mehr greift. Der Angreifer-Server protokolliert den eingehenden Pfad mit dem gestohlenen Betreff. Im Kern handelt es sich um eine serverseitige Anfragefälschung (Server-Side Request Forgery, SSRF), die ein Eintrag der CSP-Freigabeliste verdeckt.

Voller Zugriff über die Nutzerberechtigungen

Copilot Enterprise arbeitet mit den vollständigen Graph-Berechtigungen des angemeldeten Nutzers. Eine erfolgreiche Ausnutzung verschafft dem Angreifer denselben Zugriff auf die Organisationsdaten, ohne dass er sich anmeldet. Betroffen sind Betreffzeilen und Inhalte von E-Mails, die häufig Sicherheitscodes, Einmalpasswörter und Links zum Zurücksetzen von Passwörtern enthalten. Hinzu kommen Termindetails aus dem Kalender mit Teilnehmern und Notizen sowie indexierte Dateien aus SharePoint und OneDrive, darunter Geschäftszahlen und Personaldaten.

HashJack

Neue Angriffsmethode trickst KI-gestützte Browser aus

Alte Fehler in neuem Kontext

Die serverseitige Anfragefälschung über Bing und die Race Condition beim HTML-Rendering zählen zu seit Langem dokumentierten Fehlerklassen. Neu ist die Verknüpfung über die KI. Erst die Umdeutung eines URL-Parameters in eine Modell-Anweisung schleust den vom Angreifer kontrollierten HTML-Code in die Antwort ein und macht die bekannten Schwächen ausnutzbar. Ohne diese Verkettung blockiert jede einzelne Schutzschicht den Angriff.

Patch und Schutzmaßnahmen

Microsoft hat CVE-2026-42824 Anfang Juni 2026 serverseitig geschlossen, ein Eingreifen der Kunden ist nicht erforderlich. Varonis veröffentlichte die Analyse am 15.06.2026 und meldet bislang keine aktive Ausnutzung. Varonis bewertet die Schwere als kritisch. In der offiziellen Bewertung liegt der CVSS-3.1-Wert niedriger, Microsoft führt die Lücke mit 6.5, die National Vulnerability Database mit 7.5. Sicherheitsteams sollten Copilot-Such-URLs auf kodierte Inhalte im Suchparameter prüfen, Freigabelisten der Content Security Policy auf Domänen mit serverseitigem Abruf kontrollieren und die Bereinigung von KI-Ausgaben zum Zeitpunkt der Darstellung erzwingen. Anwender sollten Links zu Microsoft-365-Diensten mit langen, kodierten Parametern vor dem Klick prüfen und ungewöhnliches Verhalten von Copilot melden.

Fazit

SearchLeak zeigt, dass KI-Assistenten mit weitreichenden Datenzugriffen lange bekannte Web-Schwachstellen neu nutzbar machen. Die Kette war ausschließlich über einen vertrauenswürdigen Microsoft-Link auslösbar und blieb für klassische Phishing-Abwehr unsichtbar. Mit dem serverseitigen Patch ist der konkrete Angriffsweg geschlossen.

(ID:50876968)