Microsoft 365 patchronde: Copilot, Exchange Online en Entra ID privilege-escalatie

Microsoft heeft drie kwetsbaarheden in zijn Microsoft 365-cloudstack gepubliceerd. Het zijn cloud-side issues die Microsoft zelf verhelpt — er is geen lokale patch nodig — maar ze zijn relevant voor het begrijpen van het aanvalsoppervlak van M365.

De drie CVE’s

• CVE-2026-41106 — Microsoft 365 Copilot Elevation of Privilege: een open redirect (URL-redirection naar een niet-vertrouwde site) in M365 Copilot laat een niet-geautoriseerde aanvaller rechten verhogen over het netwerk.
• CVE-2026-54998 — Microsoft Exchange Online Elevation of Privilege: incorrect authorization in Exchange Online laat een geautoriseerde aanvaller rechten verhogen.
• CVE-2026-32208 — Microsoft Entra ID Spoofing: een spoofing-kwetsbaarheid in Entra ID (de identity-laag onder M365).

Waarom dit relevant is

M365 is voor veel organisaties de kern van identiteit, mail en samenwerking. Privilege- escalatie in Copilot, Exchange Online of Entra ID raakt precies die laag. Omdat het cloud-diensten zijn, hoef je zelf niets te patchen — maar het is verstandig om audit- en sign-in-logs te controleren en de Entra ID-hardening (MFA, conditional access) op orde te houden.

Advies

Geen eigen patch-actie nodig (Microsoft heeft dit server-side verholpen). Wél: controleer Entra ID sign-in- en audit-logs op afwijkingen, dwing MFA/conditional access af, en beperk Copilot-/app-permissies volgens least-privilege.