Microsoft hat eine kritische Sicherheitslücke in dem "Robotic Process Automation"-Tool (RPA) Power Automate (auch als Power Automate Desktop bekannt) entdeckt. Serverseitige Updates stopfen sie. Außerdem wurde nun bekannt, dass Microsoft den Support für persönliche Dienst-Konten einstellt. Nutzer davon müssen auf ein kostenpflichtiges Azure-Abo umsteigen.
Viele Details zur Sicherheitslücke nennt Microsoft in dem Schwachstelleneintrag nicht. Nicht autorisierte Angreifer können sensible Informationen abgreifen, was ihnen die Ausweitung ihrer Rechte über das Netzwerk ermöglicht (CVE-2025-47966 / EUVD-2025-17028, CVSS 9.8, Risiko "kritisch"). Die gute Nachricht: "Die durch dieses CVE dokumentierte Sicherheitslücke erfordert keine Maßnahmen des Kunden, um sie zu beheben", schreibt Microsoft, denn die Lücke haben die Entwickler auf den Microsoft-Servern bereits gestopft.
Seit vergangener Woche hat Microsoft angefangen, das Ende persönlicher Microsoft-Dienst-Konten in Power Automate einzuläuten. In einem Support-Artikel erklärt Microsoft, dass der Vorgang am 26. Juli beendet sein soll. Ab da an müssen diejenigen, die Power Automate weiternutzen wollen, ein Azure-Konto anlegen und ein Power-Apps-Entwickler-Abo abschließen. Danach ist zudem ein Export der bestehenden Automatisierungen und ein Import in die neue Umgebung nötig.
Ab dem 27. Juli dieses Jahres können sich Nutzerinnen und Nutzer nicht mehr mit persönlichen E-Mail-Konten etwa von gmail.com oder outlook.com im Power-Automate-Portal oder der mobilen App anmelden. Sie können auch keine Cloud-Flows erstellen, editieren oder verwalten. Zudem wird der Zugriff auf sämtliche Cloud-Flows mit Microsoft-Dienst-Konten dauerhaft entfernt und diese gelöscht.
Von Power Automate gibt es auch eine kostenlose Version, die etwa mit einer Windows-10-Lizenz verknüpft ist. Die Software unterstützt Microsoft jedoch weiter, auch mit persönlichen E-Mail-Konten. Hier herrscht jedoch etwas Unklarheit über den Patch-Status – da damit offenbar nicht die Cloud-Version gemeint ist, müsste ein Update auch für die lokale Anwendung verfügbar sein. Davon schreibt Microsoft in der Schwachstellenmeldung jedoch nichts, erwähnt aber explizit den Produktnamen "Power Automate Desktop".
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare