微軟一次公開 4 個雲端服務漏洞：Azure ARM、Power Pages、Orbital 的 CVSS 都是滿分 10

一句話看懂：NVD 在 5 月 22 日同時公開微軟 4 個雲端服務的 CVE，其中 3 個微軟給了滿分 10 分，但公開資料沒有寫客戶需不需要動作。

先用白話講：雲端服務的漏洞跟一般軟體有什麼不同？

一般軟體的漏洞，像是你家門鎖有問題：廠商發了新鎖，你得自己動手換。

雲端服務的漏洞比較像是大樓管理室的鎖有問題：這把鎖是大樓管理公司（微軟）管的，通常由他們換，住戶不一定要做事。不過，這只是常見情況，實際要不要住戶動作，還是得看管理公司的公告。

發生什麼事

NVD（美國的國家漏洞資料庫）在 2026 年 5 月 22 日同時列出微軟 4 個雲端服務的 CVE，描述都是「未經授權的攻擊者可透過網路」發動：

NVD 自己給的 CVSS v3.1 分數，四個都是 9.8。

這幾個服務是做什麼的

• Azure Resource Manager：管理 Azure 資源（虛擬機器、儲存體等）的核心服務，建立與刪除資源都經過它
• Power Pages：讓人用低程式碼做對外網站的服務
• Azure Orbital：衛星相關的雲端服務
• Azure AD B2C：讓網站與 App 做客戶登入的身分服務

給開發者的技術細節

• NVD 頁面只有一句話描述，沒有受影響版本，也沒有緩解措施
• 每個 CVE 在 NVD 上只附微軟安全公告頁的連結；那些頁面需要執行 JavaScript 才能顯示內容，我沒能讀取，所以沒有更多細節
• 目前沒有資料顯示這些漏洞已被實際利用，也沒有出現在 CISA 已知遭利用漏洞清單的資料裡（NVD 頁面沒有相關欄位）
• 這類雲端服務的漏洞，通常是微軟在服務端修補，客戶不一定需要升級什麼，但這是我的推測，不是來源寫的

我的看法

看到一串 10 分很嚇人，但我覺得要冷靜看：分數只代表「如果被利用，嚴重程度」，不代表已經有人在打。更重要的是，它是微軟託管的服務，我們沒辦法自己 patch。

如果你的專案用 Azure AD B2C 做客戶登入，或用 ARM 的權限控管管理資源，建議先去看微軟安全公告頁，確認有沒有需要你做的事，例如更新設定、輪換憑證或檢查稽核日誌。接案時也可以順便跟客戶說明：這類雲端服務的漏洞，通常由供應商處理，但我們要知道有這件事，並留意官方通知。

名詞小辭典

• CVSS：替漏洞嚴重程度打分數的標準，滿分 10 分。
• NVD：美國國家標準與技術研究院維護的漏洞資料庫。
• 提權（Privilege Escalation）：本來權限低的人，想辦法取得更高權限。
• 指令注入：把惡意指令混在輸入裡，讓系統當成正常指令執行。

資料來源

• NVD：CVE-2026-47280（Azure Resource Manager）
• NVD：CVE-2026-23652（Power Pages）
• NVD：CVE-2026-40412（Azure Orbital）
• NVD：CVE-2026-33843（Azure AD B2C）