Peneliti keamanan dari Wiz menemukan celah kerentanan (bug) kritis pada layanan Azure Cosmos DB milik Microsoft. Celah yang diberi nama CosmosEscape ini memungkinkan peretas untuk mendapatkan akses baca dan tulis ke berbagai database dari seluruh tenant pelanggan.

Hanya bermodalkan akun standar Azure dan database Gremlin Cosmos DB, peretas bisa menjalankan eksploitasi untuk mencuri kunci utama (master key) lintas platform. Jika berhasil, peretas bisa mengambil alih seluruh basis data pelanggan lain, termasuk yang bersifat privat maupun terisolasi jaringan.

Parahnya, master key ini dapat membuka seluruh akun Microsoft di berbagai wilayah maupun Application Programming Interface (API), seperti SQL, MongoDB, Cassandra, dan Gremlin API.

Respons Cepat Microsoft

Wiz pertama kali melaporkan temuan CosmosEscape ini pada November 2025. Microsoft pun langsung bergerak cepat. Dalam waktu kurang dari 48 jam, Microsoft berhasil memblokir titik masuk celah Gremlin tersebut.

Kemudian, perbaikan menyeluruh (patch) untuk semua wilayah layanan akhirnya selesai dilakukan pada bulan Juli 2026. Microsoft memastikan bahwa master key lintas platform yang menjadi sumber masalah telah sepenuhnya dihapus.

Berdasarkan hasil investigasi internal, Microsoft mengonfirmasi bahwa tidak ada aktivitas akses ilegal dari pihak luar selain pengujian dari tim peneliti Wiz. Data pelanggan dipastikan aman, sehingga para pengguna Azure Cosmos DB tidak perlu melakukan tindakan pengamanan tambahan apa pun.

Tim peneliti Wiz rencananya akan membeberkan secara lengkap rincian teknis eksploitasi CosmosEscape ini pada acara keamanan siber Black Hat USA di awal Agustus mendatang.

Source: https://thehackernews.com/2026/07/azure-cosmos-db-flaw-exposed-platform.html