Microsoft heeft twaalf kwetsbaarheden verholpen in uiteenlopende Azure-onderdelen. Dat meldt het NCSC in advisory NCSC-2026-0421, gepubliceerd op 13 oktober 2026.
Een kwaadwillende kan de fouten misbruiken om beveiligingsmaatregelen te omzeilen, zich verhoogde rechten toe te kennen, willekeurige code uit te voeren of bij gevoelige gegevens te komen. De onderliggende problemen lopen uiteen van command injection en server-side request forgery tot een zwakke authenticatie en een certificaatcontrole die niet goed verloopt. Getroffen componenten zijn onder meer de Azure Connected Machine Agent voor Arc Enabled Servers, Azure API Center, de Azure CLI en de DevOps CLI-extensie, Azure Container Storage via Arc, CycleCloud 8.9.1 en 8.9.2, Event Grid, de Key Vault Client SDK, de SRE Agent, de Storage Blobs-clientbibliotheek voor Java, Microsoft Bookings en Partner Center.
Voor vier van de twaalf kwetsbaarheden, CVE-2026-83943, CVE-2026-96207, CVE-2026-69435 en CVE-2026-83947, heeft Microsoft de fix al centraal doorgevoerd. Klanten hoeven daar zelf niets voor te doen. De overige acht vragen wel om actie, zoals het bijwerken van client-SDK’s, CLI-extensies of de Connected Machine Agent op eigen beheerde systemen. Over actief misbruik of een publiek bekende proof-of-concept meldt het NCSC niets.
Cloudbeheerders doen er goed aan eerst te inventariseren welke van deze twaalf componenten binnen hun tenant daadwerkelijk in gebruik zijn, in plaats van de hele lijst in één keer te willen bijwerken. Dezelfde patchronde bracht ook updates voor de Developer Tools, waar Azure API Center eveneens in terugkomt.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u Azure-resources via Arc, CycleCloud, de Azure CLI of de DevOps CLI-extensie? Werk die clientcomponenten handmatig bij. Vier van de twaalf fouten zijn al centraal door Microsoft gepatcht, de overige acht vragen wel actie van uzelf.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.