Microsoft Bookings - облачный сервис планирования встреч и записи клиентов в составе Microsoft 365 - содержит уязвимость BDU:2026-16750 (CVE-2026-94510). Приложение доверяет ключу доступа, который задаёт сам пользователь, и не сверяет его с реальными правами. По классификации CWE-639 это обход авторизации через ключ, контролируемый пользователем. Оценка по CVSS 3.1 достигает 9,9 из 10, что соответствует критическому уровню. Злоумышленник, работающий удалённо, может повысить свои привилегии в сервисе.
CVE-2026-94510 в Microsoft Bookings и обход авторизации
Класс CWE-639 описывает ситуацию, когда приложение полагается на идентификатор, пришедший со стороны клиента. Сервер проверяет, что ключ существует, но не проверяет, кому он выдан и какие права за ним стоят. Пользователь подставляет чужой идентификатор и получает доступ к объектам, которые ему не принадлежат. В случае Bookings это страницы записи, расписания сотрудников и настройки календарей.
Вектор атаки выглядит так: сеть, низкая сложность, отсутствие требуемых привилегий, отсутствие взаимодействия с жертвой. Показатель области действия изменён, то есть последствия выходят за пределы уязвимого компонента. Сильнее всего страдает целостность данных, её вклад в оценку - высокий. Конфиденциальность и доступность затронуты слабее. Проще говоря, злоумышленник скорее изменит записи и параметры работы сервиса, чем выкачает содержимое календарей или остановит его.
Уязвимость выявили 8 октября 2026 года. Производитель подтвердил проблему и отнёс её к классу уязвимостей архитектуры: ошибка заложена в логике разграничения доступа, а не в отдельной функции. Сведений о применении в реальных атаках источник не приводит, статус эксплойта указан как уточняемый.
Почему это важно для организаций
Bookings часто используют как публичную точку входа: клиент открывает страницу записи из письма или с сайта компании и выбирает удобное время. Такие страницы доступны из интернета по умолчанию, а учётная запись для них не нужна. Атака не требует, чтобы сотрудник нажал ссылку или открыл файл. Достаточно, чтобы злоумышленник нашёл способ подставить свой ключ в запрос.
Дальше открывается несколько сценариев. Можно изменить чужое расписание, перенести или отменить встречи, добавить фиктивные услуги и сотрудников, поменять правила записи. Для сервисных компаний, клиник и отделов продаж это прямая помеха работе: клиенты приходят не туда и не тогда, а внутренние календари перестают отражать реальность. Отдельный риск - доступ к сведениям о клиентах, которые видны в карточках записи.
Оценка по CVSS 3.1 выше оценки по CVSS 2.0, где она составляет 9. Расхождение объясняется тем, что новая метрика учитывает смену области действия. Обе оценки попадают в верхнюю часть шкалы, поэтому игнорировать проблему не стоит, даже если часть вектора ещё уточняется.
Обновление и проверка настроек
Уязвимость закрыта, обновление доступно по бюллетеню Microsoft с идентификатором CVE-2026-94510. Администраторам стоит свериться с ним и установить актуальную сборку сервиса. Номеров версий источник не приводит, поэтому ориентироваться нужно на указатель вендора.
После обновления полезно проверить, кто имеет права администратора в Bookings. Лишние учётные записи лучше снять с роли. Публичные страницы записи стоит оставить только тем подразделениям, которым они действительно нужны. Журналы сервиса покажут, менялись ли расписания и настройки в те периоды, когда сотрудники этого не делали. Если обновление установить нельзя, разумная временная мера - отключить внешние страницы записи и вернуть их после установки исправления.
Отдельно стоит посмотреть на связанные сервисы Microsoft 365, которые используют те же принципы разграничения доступа. Ошибка одного компонента часто повторяется в соседних, если их писали по общей схеме.
История с Bookings показывает, какого типа ошибки чаще всего дают высокие оценки в облачных продуктах. Проверка прав на стороне клиента выглядит удобной при разработке, но в публичном сервисе она превращается в открытую дверь для любого, кто умеет менять параметры запроса. Критический балл здесь отражает не сложность атаки, а её простоту и масштаб последствий для бизнес-процессов.
Ссылки
- https://bdu.fstec.ru/vul/2026-16750
- https://www.cve.org/CVERecord?id=CVE-2026-94510
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-94510
