Eigentlich ist eine Höchstwertung bei der CVSS-Skala von 9,8 immer ein Grund zum Aufhorchen — noch mehr, wenn sie einen Cloud-Dienst trifft, den tausende kleine Firmen täglich nutzen, ohne genau zu wissen, was dahinter eigentlich läuft. Am 8. Oktober 2026 veröffentlichte Microsoft die Sicherheitsmeldung zu CVE-2026-77900 in Azure App Service für Linux.
WAS GENAU FEHLTE: Eine Prüfung, die eigentlich Pflicht ist
Die Lücke trägt die technische Bezeichnung CWE-306 — Missing Authentication for Critical Function. Übersetzt heißt das: An einer Stelle, die eigentlich eine Anmeldung voraussetzen müsste, fehlte diese Prüfung. Laut CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) lässt sich die Lücke über das Netzwerk, ohne Vorkenntnisse, ohne Nutzerinteraktion und ohne jede Anmeldung ausnutzen — und sie gefährdet Vertraulichkeit, Integrität und Verfügbarkeit gleichzeitig. Im Klartext: Ein Angreifer könnte theoretisch Code auf einer betroffenen Instanz ausführen, ohne sich jemals einzuloggen.
Betroffen sind laut Microsoft alle Versionen von Azure App Service für Linux — dem Dienst, über den viele Webanwendungen, APIs und kleinere Business-Seiten laufen, ohne dass sich der Betreiber um Server oder Betriebssystem kümmern muss.
DIE GUTE NACHRICHT: Microsoft patcht selbst
Azure App Service ist ein vollständig verwalteter Cloud-Dienst — die eigentliche Plattform liegt in Microsofts Hand, nicht in der des Kunden. Microsoft hat für CVE-2026-77900 bereits einen offiziellen Fix veröffentlicht und rollt ihn serverseitig aus. Eine aktive Ausnutzung in freier Wildbahn ist bislang nicht bekannt, die Lücke taucht auch nicht in der KEV-Liste der US-Behörde CISA auf, die aktiv angegriffene Schwachstellen listet.
Microsoft hält sich mit technischen Details auffällig zurück — welche konkrete Funktion genau betroffen war, verrät die Sicherheitsmeldung nicht. Das ist bei PaaS-Lücken, die der Anbieter selbst schließt, allerdings üblich: Je weniger öffentlich bekannt ist, bevor der Patch flächendeckend ausgerollt ist, desto kleiner das Zeitfenster für Nachahmer.
WAS DU TROTZDEM PRÜFEN SOLLTEST
Weil die Plattform selbst patcht, musst du als Betreiber einer App Service-Instanz kein manuelles Update einspielen. Trotzdem lohnt sich etwas Sorgfalt:
- Prüfe im Azure-Portal unter Service Health, ob für deine Region bereits eine Bestätigung zum Rollout vorliegt.
- Sieh dir die Aktivitätsprotokolle deiner App-Service-Instanzen für die vergangenen Tage an — ungewöhnliche Zugriffe oder unbekannte Prozesse wären ein Warnsignal.
- Aktiviere, falls noch nicht geschehen, Microsoft Defender for Cloud für zusätzliche Transparenz über laufende App-Service-Workloads.
- Begrenze öffentlich erreichbare Admin- oder Diagnose-Endpunkte (etwa das Kudu/SCM-Interface) so weit wie möglich auf vertrauenswürdige IP-Bereiche.
FAZIT: Höchste Punktzahl, aber kein Grund zur Panik
CVSS 9,8 klingt nach Alarmstufe Rot — und verdient durchaus Aufmerksamkeit. Weil es sich aber um eine vollständig von Microsoft verwaltete Cloud-Komponente handelt, liegt die eigentliche Reparatur nicht bei dir. Wer dennoch auf Nummer sicher gehen will, schaut kurz in die Protokolle und wartet die offizielle Rollout-Bestätigung ab.