事件经过
CVE-2026-41106（CVSS 9.3严重）是Microsoft 365 Copilot中允许特权提升的开放重定向漏洞。它于2026年7月2日发布，并在2026年7月4日的Threat-Modeling.com漏洞情报报告中与伴随的Exchange Online漏洞（CVE-2026-54998）一起得到重点报道；Microsoft进行了云端修补。
影响分析
M365 Copilot是部署最广泛的企业GenAI助手之一；其信任/重定向处理中的关键特权提升漏洞——尽管已被修复——说明了AI Copilot中的开放重定向类漏洞如何可以链接到跨庞大企业用户群的账户或租户级特权提升。
攻击途径
M365 Copilot中的开放重定向（"URL重定向到不受信任的站点"、CWE-601）允许未授权的攻击者通过网络提升特权，需要用户交互（例如，点击精心制作的链接，该链接通过Copilot的受信任重定向流反弹到攻击者控制的目标，然后利用该信任来提升特权）。
受影响系统
Microsoft 365 Copilot（云托管、专有托管服务）
缓解措施
由Microsoft进行了服务器端修补；不需要客户操作（发布/修复时间2026-07-02，根据Microsoft公告GHSA-6xf4-794h-3f7w）。