Microsoft baru saja lolos dari insiden keamanan yang berpotensi sangat serius. Sebuah perusahaan keamanan siber berhasil mengidentifikasi celah yang dapat membahayakan seluruh basis data Azure Cosmos DB, termasuk milik pelanggan maupun Microsoft sendiri.
Kerentanan tersebut ditemukan pada Gremlin API, antarmuka yang biasa digunakan untuk mengelola data dalam bentuk graph. Jika dimanfaatkan pihak yang tidak bertanggung jawab, celah ini memungkinkan perolehan Cosmos Master Key, kunci utama yang memberikan akses baca dan tulis penuh ke setiap akun Cosmos DB.
Dengan akses tersebut, pelaku jahat juga dapat memperoleh daftar lengkap basis data yang ada di layanan, lengkap dengan identitas langganan dan tenant. Azure Cosmos DB sendiri merupakan basis data NoSQL yang menjadi fondasi berbagai layanan cloud Microsoft dan dapat diakses melalui SDK untuk Python, Node.js, Java, serta .NET.
Pihak yang menemukan celah ini adalah Wiz, anak perusahaan Google. Mereka melaporkan temuan tersebut kepada Microsoft pada November 2025. Microsoft merespons cepat dengan menerapkan hot fix dalam dua hari. Namun, untuk menghilangkan Cosmos Master Key dan menambahkan lapisan pengaman baru, diperlukan waktu delapan bulan untuk merombak infrastruktur secara menyeluruh.
Insiden ini menyoroti kompleksitas pengamanan layanan cloud berskala besar. Proses perbaikan yang memakan waktu berbulan-bulan menunjukkan bahwa perubahan pada komponen inti tidak dapat dilakukan secara tergesa-gesa tanpa mempertimbangkan kompatibilitas dan stabilitas sistem yang sudah berjalan.
Selain itu, temuan ini juga menegaskan pentingnya peran peneliti keamanan independen dalam mendeteksi risiko yang mungkin terlewat oleh audit internal. Kolaborasi antara perusahaan teknologi dan pihak eksternal semacam ini menjadi salah satu mekanisme efektif untuk menjaga integritas layanan yang digunakan jutaan organisasi.
Kerentanan serupa pernah terjadi pada 2021 ketika celah di Jupyter Notebook memungkinkan akses terhadap kunci basis data. Hal ini mengindikasikan bahwa ancaman terhadap kunci akses Cosmos DB memerlukan kewaspadaan berkelanjutan, terutama karena layanan ini mendukung aplikasi yang memerlukan skalabilitas global dan latensi rendah.
Dengan diperkenalkannya guardrail baru, Microsoft berupaya mencegah jenis serangan serupa di masa mendatang. Langkah ini diharapkan dapat memperkuat kepercayaan pelanggan terhadap keamanan infrastruktur cloud yang menjadi tulang punggung operasional bisnis modern.
