Sicherheitsforscher des Unternehmens Varonis haben eine kritische Schwachstellenkette in Microsoft 365 Copilot Enterprise aufgedeckt, die sie "SearchLeak" getauft haben. Mit einem einzigen Klick auf einen präparierten Link ließen sich damit E-Mails, Einmalpasswörter, Kalendereinträge und interne Unternehmensdateien aus dem Postfach eines Opfers stehlen, ohne dass Angreifer spezielle Berechtigungen benötigten. Microsoft schloss die Lücke unter der Kennung CVE-2026-42824 und stufte sie als kritisch ein.

KI-Angriff gepaart mit klassischer Websicherheit

Das Besondere an SearchLeak ist die Kombination aus einer neuartigen KI-spezifischen Angriffstechnik und zwei klassischen Websicherheitsproblemen. Im ersten Schritt nutzten Angreifer eine sogenannte Parameter-to-Prompt-Injektion (P2P): Der URL-Parameter "q" in der Copilot-Unternehmenssuche wurde direkt als ausführbare Anweisung an die KI übergeben. Ein Angreifer konnte so einen Link konstruieren, der Copilot anwies, das Postfach des Opfers zu durchsuchen und gefundene Daten in eine Bild-URL einzubetten.

Im zweiten Schritt nutzten die Forscher eine Race Condition im HTML-Rendering: Während Copilot seine Antwort noch streamte, renderte der Browser kurzzeitig unbereinigtes HTML – ein eingebettetes <img>-Tag feuerte seine HTTP-Anfrage ab, bevor der Sanitizer eingreifen konnte. Im dritten Schritt umgingen die Angreifer die Content Security Policy (CSP) über eine Server-Side Request Forgery (SSRF) durch Bings Bildsuche: Da *.bing.com auf der Allowlist stand, leitete Bing die Anfrage serverseitig an die Infrastruktur des Angreifers weiter - die CSP-Beschränkung des Browsers griff dabei nicht.

Datenklau über legitime Microsoft-Domain

Das Ergebnis war eine stille Datenexfiltration ohne Zutun des Opfers jenseits eines einzelnen Klicks. Der präparierte Link zeigte auf eine legitime Microsoft-Domain, weshalb klassische Anti-Phishing-Filter und URL-Schutzlösungen ihn nicht blockierten. Da Copilot Enterprise mit den vollen Graph-Berechtigungen des jeweiligen Nutzers arbeitete, erbte ein Angreifer faktisch dessen Zugriff auf die gesamte Unternehmenslandschaft – E-Mail-Inhalte, Sicherheitscodes und Einmalpasswörter, Kalenderdetails inklusive Meetingnotizen sowie vertrauliche Dateien aus SharePoint und OneDrive, etwa Quartalsergebnisse, Gehaltsdaten oder Übernahmepläne. Besonders brisant: Die exfiltrierten MFA-Codes hätten Angreifern den Zugang zu weiteren Diensten ermöglichen können.

Varonis-Forscher Dolev Taler betont im Blogbeitrag des Unternehmens, dass SearchLeak keineswegs auf neuartigen Prompt-Injection-Tricks allein beruht. Jede einzelne Schwachstelle in der Kette – P2P-Injektion, Race Condition und SSRF – sei für sich genommen beherrschbar gewesen. Erst die KI-Komponente habe einen neuen Angriffspfad geschaffen, der die klassischen Bugs in einer Weise kombinierbar machte, die zuvor nicht ausnutzbar war. Varonis hatte bereits früher mit "Reprompt" eine ähnliche Schwachstelle im persönlichen Copilot-Assistenten aufgedeckt.

Ausschau nach verdächtigen Payloads halten

Microsoft patchtete SearchLeak nach der Meldung durch Varonis. Für Sicherheitsteams empfahlen die Forscher dennoch, Copilot-Such-URLs künftig auf verdächtige Payloads im "q"-Parameter zu überwachen, CSP-Allowlists auf SSRF-anfällige Domains zu überprüfen und KI-Streaming-Ausgaben grundsätzlich als nicht vertrauenswürdig zu behandeln – die Bereinigung müsse zum Render-Zeitpunkt erfolgen, nicht als nachgelagerte Nachbearbeitung. Nutzern rieten sie, Links zu Microsoft-365-Diensten mit langen, kodierten Abfrageparametern vor dem Klicken kritisch zu prüfen.