Критический баг в Copilot позволял похищать коды двухфакторной аутентификации

Microsoft 365 Copilot Enterprise был затронут уязвимостью, исправленной в бюллетене под CVE-2026-42824, однако исследователи Varonis раскрыли детали атаки под названием SearchLeak. Злоумышленник мог через специально подготовленную ссылку заставить Copilot Enterprise Search обращаться к корпоративным данным (почта, SharePoint, OneDrive, календарь и т. д.) и незаметно передавать похищенное на внешний сервер, включая коды двухфакторной аутентификации, извлекаемые из писем. Это важно, потому что сценарий показывает, как цепочки старых классов уязвимостей (в том числе SSRF и HTML-инъекции) могут приводить к масштабной утечке в ИИ-ассистентах.