MicrosoftのAzure Cosmos DBサービスに存在した脆弱性により、攻撃者はGremlinクエリのサンドボックスを突破し、全顧客データベースへの読み書きアクセスを得ることが可能だった。WizがCosmosEscapeと名付けたこの脆弱性は、Gremlinデータベースを経由した攻撃チェーンによって機能することが判明した。攻撃者はマルチテナントゲートウェイでコード実行を行うことで、プラットフォーム全体の署名キーと地域アカウントディレクトリを入手できた。

Wizの技術レポートによると、Cosmos DBの専用Gremlinエンジンは、Gremlinクエリを.NETコードに変換し、制限された環境で実行していた。しかし、この制限は.NETリフレクションを考慮しておらず、研究者はファイルの読み書きポリシーを作成し、任意のコードを実行できた。Microsoftはこの脆弱性を2025年11月に報告されてから48時間以内にブロックし、2026年7月に全リージョンで恒久的な対策を実施した。

Microsoftの調査では、研究者以外の不正アクティビティはなく、顧客データへのアクセスも確認されていない。しかし、この脆弱性がいつ生産環境に導入されたか、Microsoftのログ調査がどの期間をカバーしたかは明らかになっていない。