Deutschland: Microsoft Power BI – kritische Sicherheitslücke
Der CERT-Bund hat in seiner Sicherheitsberatung WID-SEC-2026-2780 auf eine Schwachstelle in Microsoft Power BI hingewiesen, die es einem authentifizierten Angreifer erlaubt, beliebigen Programmcode auf betroffenen Systemen auszuführen. Die Meldung richtet sich an Betreiber von Power‑BI‑Instanzen, die das Risiko einer Kompromittierung ihrer Daten und Infrastruktur minimieren wollen.
Technische Details
Die Lücke betrifft einen internen Dienst, der nach erfolgreicher Authentifizierung Anfragen verarbeitet, ohne ausreichende Validierung der übermittelten Parameter vorzunehmen. Durch speziell gestaltete Anfragen kann ein Angreifer Code einschleusen, der anschließend mit den Rechten des betroffenen Benutzerkontos ausgeführt wird.
Risiken für Unternehmen
Ein erfolgreicher Angriff ermöglicht das Laden und Ausführen von Schadsoftware, das Ausspähen von vertraulichen Informationen sowie die Manipulation von Berichten. Da Power BI häufig als Analyse‑ und Visualisierungstool in Unternehmensumgebungen eingesetzt wird, kann ein erfolgreicher Exploit weitreichende Folgen für die Datenintegrität haben.
Empfohlene Maßnahmen
Der CERT-Bund rät betroffenen Betreibern, unverzüglich die von Microsoft bereitgestellten Sicherheitspatches zu installieren und ihre Systeme auf die aktuelle Version zu aktualisieren. Zusätzlich sollten Netzwerksegmentierungen überprüft und Zugriffsrechte auf das Power‑BI‑Backend streng kontrolliert werden.
Reaktion von Microsoft
Microsoft hat bereits ein Sicherheitsupdate veröffentlicht, das die beschriebene Lücke schließt. Der Hersteller empfiehlt, das Update zeitnah zu implementieren und die offiziellen Sicherheitshinweise zu beachten.
Ausblick
Der Vorfall verdeutlicht die Notwendigkeit regelmäßiger Sicherheitsüberprüfungen von Business‑Intelligence‑Lösungen. Der CERT-Bund wird die Situation weiter beobachten und bei Bedarf weitere Empfehlungen aussprechen.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung