Ошибка проверки сертификатов в облачной платформе Microsoft Partner Center позволяет удалённому злоумышленнику повысить привилегии. Предварительные права и действия пользователя не нужны, сложность атаки низкая. Уязвимость CVE-2026-96207 получила 10 баллов по шкале CVSS 3.1. Это критический уровень опасности.
CVE-2026-96207 и проверка сертификатов в Partner Center
В Банке данных угроз безопасности информации (BDU) карточка BDU:2026-16751 описывает проблему как неправильное подтверждение подлинности сертификата (CWE-295). Сертификат в облачной среде удостоверяет сторону соединения. Проверка нужна, чтобы клиент не принял подменённый узел за доверенный. Ошибка CWE-295 означает, что проверка может дать неверный результат. Карточка называет способ эксплуатации подменой при взаимодействии.
Вектор CVSS 3.1 указывает на атаку по сети, низкую сложность, отсутствие требований к привилегиям и взаимодействию с пользователем. Метрика изменения области действия означает, что последствия выходят за пределы уязвимого компонента. Оценки конфиденциальности и целостности высокие, доступности нет. Иными словами, проблема угрожает доступу к защищённым данным и их изменению, но не остановке сервиса. Оценка CVSS 2.0 составляет 9,4.
Максимальная оценка по CVSS 3.1 равна 10 баллам. У CVE-2026-96207 стоит именно она. Оценка CVSS 2.0 ниже, 9,4, но тоже относится к высокому уровню. Разница связана с разными версиями шкалы, а не с изменением самой уязвимости.
Partner Center - облачная платформа для партнёрской программы Microsoft. Через неё партнёры управляют доступами и сервисами для клиентов. Повышение привилегий в такой системе затрагивает не одну учётную запись, а взаимодействие между партнёрами и их клиентами. Злоумышленник с более высокими правами может выйти за рамки роли, которая назначена пользователю или сервису.
В первую очередь риск касается партнёров Microsoft и администраторов, которые работают с Partner Center. Обычные пользователи редко обращаются к платформе напрямую. При этом их данные могут храниться в сервисах, которыми управляют через этот центр.
Уязвимость относится к классу архитектурных. Дата выявления - 8 октября 2026 года. Microsoft подтвердила проблему и подготовила исправление. В BDU статус - подтверждена производителем, исправление есть. Конкретную исправленную версию в карточке не приводят. Вендор ведёт отдельное руководство по CVE-2026-96207 на портале MSRC.
Данные о наличии эксплойта в карточке уточняются. Сведений о реальных атаках с использованием CVE-2026-96207 в исходных данных нет. Оценка 10 по CVSS 3.1 соответствует критическому уровню. Для облачной платформы это высокий риск: ошибка затрагивает механизм доверия, а не отдельную функцию.
Администраторам нужно проверить, какие компоненты Partner Center использует организация, и установить исправление по руководству Microsoft для CVE-2026-96207. После обновления сверить его версию с указанной в MSRC. Также важно убедиться, что обновление дошло до всех связанных облачных сервисов. Иных мер, кроме обновления, в карточке нет. Для облачного сервиса исправление на стороне Microsoft не отменяет проверку собственных интеграций.
Сбой в проверке сертификата снижает ценность сертификата как средства подтверждения стороны. Для партнёрской платформы это чувствительно: права здесь дают доступ к сервисам и данным клиентов. CVE-2026-96207 важна не масштабом подтверждённых атак, а классом ошибки. Проверка сертификатов остаётся базовым механизмом доверия в облаке, и сбой в ней требует внимания даже при отсутствии данных об эксплуатации.
Ссылки
- https://bdu.fstec.ru/vul/2026-16751
- https://www.cve.org/CVERecord?id=CVE-2026-96207
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96207
