Коротко
Внутрішній портал, до якого співробітники заходять з дому без VPN, нерідко працює через App Proxy. Для AAD App Proxy Microsoft опублікувала запис CVE-2026-97785 у Security Update Guide: за описом, через неправильну автентифікацію неавторизований нападник може підвищити привілеї через мережу.
Короткий опис не пояснює, чи потрібні дії на вашому боці, тому перший крок: відкрити сторінку запису й прочитати її повністю. Назву компонента в адмінпанелі варто звірити з описом у записі.
Кого стосується
Насамперед компаній, які публікують внутрішні вебзастосунки назовні через App Proxy: портали, внутрішні сервіси, старі корпоративні системи, до яких потрібен доступ з дому чи відрядження. Якщо такі застосунки у вас є, тему слід опрацювати сьогодні.
Якщо App Proxy у вас не налаштовано, а доступ до внутрішніх систем іде лише через VPN або взагалі не виходить за межі офісу, цей запис вас безпосередньо не стосується. Версії та конкретні умови вразливості короткий опис не наводить, тож їх варто звірити на сторінці Microsoft.
Що це означає для бізнесу
Практичний ризик такий: застосунок, який мав бути доступний лише своїм, можуть спробувати відкрити без входу, а потім отримати більше прав, ніж належить. Що саме опиниться під загрозою, залежить від того, що опубліковано: від довідкового порталу до системи з даними клієнтів чи фінансами.
Запис не повідомляє про масові атаки, і сприймати його варто як сигнал навести лад, а не як привід для паніки. Розумно також ще раз оцінити, чи справді кожному застосунку потрібен вихід в інтернет. Для частини з них достатньо захищеного доступу через VPN.
Що зробити
Пріоритет: кроки 1–3 сьогодні, кроки 4–5 цього тижня, крок 6 при плановому перегляді доступів.
- Складіть список застосунків, опублікованих через App Proxy: в адмінпанелі хмарної ідентифікації Microsoft знайдіть застосунки, які працюють через цей компонент. Перевірка: для кожного відомі назва, власник і зовнішня адреса.
- Відкрийте сторінку запису CVE-2026-97785 у Security Update Guide і випишіть, що саме Microsoft вимагає чи рекомендує. Перевірка: у нотатці є статус виправлення, потрібні дії та дата, коли ви дивилися сторінку.
- Виконайте дії, які вказані на сторінці, якщо вони стосуються вашого середовища. Перевірка: після змін вхід у тестовий застосунок працює, а сторінка запису не містить невиконаних вимог.
- Перегляньте журнали входів для цих застосунків за останні тижні: невідомі країни, незвичний час, серія невдалих спроб, нові ролі. Перевірка: є короткий звіт; усе підозріле передано на розбір.
- Приберіть зайве: вимкніть публікацію застосунків, якими ніхто не користується, і обмежте коло користувачів кожного. Додайте MFA та умовний доступ як додатковий шар, але не замість оновлення. Перевірка: тестовий обліковий запис без дозволу отримує відмову.
- Внесіть App Proxy до реєстру точок входу ззовні й призначте відповідального, який раз на квартал переглядає список. Перевірка: у реєстрі є ім'я та дата наступного перегляду.
Про інший вхід ззовні ми писали окремо: RCE у клієнті Remote Desktop.
Якщо немає свого адміністратора
Скласти список опублікованих застосунків і переглянути журнали входів можна за кілька годин, але для цього потрібен доступ до адмінпанелі та розуміння, що в ній шукати. Якщо у вашій компанії немає людини, яка стежить за доступом до внутрішніх застосунків через App Proxy, перевірку й оновлення можна передати команді TakeIT.
Для постійного контролю підійдуть моніторинг і базова кібербезпека: автоматичний моніторинг 24/7, реакція за умовами договору.
Висновок
Запис короткий, і багато деталей доведеться уточнити на сторінці Microsoft. Але вже зараз корисно знати, які саме ваші системи відкриті назовні й хто за них відповідає. Цей список знадобиться і для наступної вразливості.
Джерела
- CVE-2026-97785 AAD App Proxy Elevation of Privilege Vulnerability · 22 жовтня 2026 р.
