Azure Cosmos DB: CERT-Bund warnt vor anonymer Codeausführung — was Administratoren jetzt tun sollten

Das CERT-Bund warnt in Advisory WID-SEC-2026-2617 vor einer schwerwiegenden Sicherheitslücke in Microsoft Azure Cosmos DB: Ein entfernter, nicht authentifizierter Angreifer kann beliebigen Programmcode ausführen. Das klingt nach einem Standardpatch-Zyklus. Ist es aber nicht — denn kein Login ist erforderlich, kein Insiderwissen, kein Fuß in der Tür: Der Angriffsvektor liegt nach aktuellem Kenntnisstand offen im Internet, ohne jede Zugangsschwelle.

Was ist bekannt?

Microsoft Azure Cosmos DB ist Microsofts vollständig verwalteter NoSQL-Datenbankdienst in der Azure-Cloud — ein kostenpflichtiger Dienst, auf den viele Unternehmen für skalierbare Anwendungen, API-Backends und Business-Intelligence-Pipelines setzen. Laut CERT-Bund erlaubt die Schwachstelle einem entfernten, anonymen Angreifer, beliebigen Programmcode auszuführen. Die Gefährdungseinstufung lautet „hoch“.

Die genaue technische Ursache — ob ein unsicherer API-Endpunkt, ein Parsing-Fehler oder ein anderer Angriffsvektor — ist in der öffentlichen Kurzfassung des Advisorys nicht detailliert. Das ist bei aktiven Schwachstellen oft bewusst so, um Angreifern keine unmittelbare Anleitung zu liefern. Weitere Details finden sich direkt im verlinkten CERT-Bund-Advisory.

Was noch offen ist

Öffentlich bislang nicht bestätigt: ob Ausnutzungen in freier Wildbahn bereits beobachtet wurden, ob Microsoft das Problem zum Zeitpunkt dieser Meldung bereits stillschweigend gepatcht hat — was bei vollständig verwalteten Cloud-Diensten ohne klassische Versionsnummern der Normalfall ist —, und ob alle API-Typen von Azure Cosmos DB betroffen sind. Das Produkt unterstützt mehrere Schnittstellen: Core SQL, MongoDB-Kompatibilität, Cassandra, Gremlin und Table. Ob eine oder alle davon verwundbar sind, bleibt nach aktuellem Kenntnisstand offen.

Warum das auch Sie betrifft

Wer selbst keine Azure Cosmos DB betreibt, sollte trotzdem aufhorchen. Der Dienst ist in der Azure-Welt weit verbreitet: SaaS-Anbieter, Softwarehersteller und IT-Dienstleister setzen ihn ein. Eine Schwachstelle auf Plattformebene kann damit auch Daten und Systeme treffen, die gar nicht direkt auf Azure laufen — über die Software, die man eingekauft hat, oder über den Dienstleister, dem man vertraut.

Dass kein Login erforderlich ist, macht das Risikoprofil grundlegend anders als bei klassischen Datenbankangriffen. Starke Passwörter, Rollenkonzepte, Netzwerksegmentierung auf Datenbankebene — diese Maßnahmen greifen hier nicht. Der Angriffsvektor liegt auf der Plattformebene. Das Patching liegt bei Microsoft; der Nutzer hat keinen Hebel, der das Problem auf eigene Faust schließt.

Was Administratoren jetzt tun sollten

Advisory prüfen. Das CERT-Bund-Advisory WID-SEC-2026-2617 gibt den aktuellen Stand. Bei Cloud-Diensten ändern sich solche Meldungen oft innerhalb von Stunden — prüfen Sie, ob Microsoft inzwischen eine Stellungnahme oder einen Fix referenziert hat.

Nutzung erfassen. Welche Anwendungen, Dienste oder Lieferanten in Ihrem Umfeld setzen Azure Cosmos DB ein? Diese Liste jetzt zu erstellen ist keine Überreaktion — sie ist die Voraussetzung für jede weitere Maßnahme und für das Gespräch mit Ihren Softwarelieferanten.

Microsoft-Kanäle beobachten. Bei einem vollständig verwalteten Dienst kommuniziert Microsoft Fixes über das Azure-Portal, Service-Health-Meldungen und Security-Update-Benachrichtigungen. Wer diese Kanäle nicht aktiv monitort, erfährt von einem stillschweigenden Patch mitunter erst Tage später.

Lieferkettenrisiko einbeziehen. Wenn Ihre eigene Cosmos-DB-Nutzung gering oder null ist, fragen Sie Ihre SaaS-Anbieter: Betreiben sie den Dienst, und wie ist ihr Status zu dieser Schwachstelle?

Aus unserer Sicht ist das keine Situation, in der man abwartet. Codeausführung ohne Authentifizierung auf einer weit verbreiteten Cloud-Datenbankplattform ist eine Gefährdungskategorie, die sofortige Aufmerksamkeit rechtfertigt — auch wenn technische Details noch nicht vollständig öffentlich sind.

Quellen: CERT-Bund — „WID-SEC-2026-2617: Microsoft Azure Cosmos DB: Schwachstelle ermöglicht Codeausführung“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2617)