# Microsoft opravil chybu „CoSnitch“ v Copilotu, jedno kliknutí mohlo ukrást data z propojených aplikací

*2026-08-22 22:01 UTC · Technologie · 1 min read*

> Řetězená zranitelnost Copilot Personal zvaná CoSnitch umožňovala jedním kliknutím tiše vytáhnout data z propojených účtů Gmail, Drive a Kalendáře, než ji Microsoft 18. srpna 2026 opravil.

Výzkumníci z Varonis Threat Labs odhalili řetězec tří zranitelností v Microsoft Copilot Personal, souhrnně nazvaný „CoSnitch“, který umožňoval jediným škodlivým odkazem tiše vytáhnout data z uživatelových propojených aplikací. Microsoft opravu vydal 18. srpna 2026, zhruba osm měsíců poté, co Varonis chybu nahlásil v prosinci 2025.

Útok stál na nezdokumentovaném parametru URL adresy autorun=1, který Varonis podle vlastních slov odhalil pomocí „meta-hackingu“ — opakovaným dotazováním Copilota, proč automatické spuštění promptu údajně není možné, dokud asistent neprozradil samotný parametr i podmínky, za kterých se spouští. Oběti stačilo požádat Copilota o shrnutí připravené webové stránky a skryté instrukce v jejím HTML kódu se spustily automaticky — a stáhly data z propojených služeb včetně Gmailu, Google Drive a Google Kalendáře, plus historii konverzací a uloženou paměť.

Chyba, vedená jako CVE-2026-24301 se skóre závažnosti 8,8 z 10, spojovala automatické spuštění promptu, exfiltraci přes autorizovaná propojení a trvalé „otrávení“ paměti asistenta. Varonis uvedl, že nenašel důkazy o zneužití před vydáním opravy, ale riziko shrnul stručně: Copilot „nebyl napaden, byl obehrán“.

## Zdroje

- [thehackernews.com](https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html)
- [varonis.com](https://www.varonis.com/blog/cosnitch)

---
TechTools News · https://techtools.cz/tools/news/clanek/2309-microsoft-opravil-chybu-cosnitch-v-copilotu-jedno-kliknuti-mohlo-ukrast-data-z
English version: https://techtools.cz/tools/news/article/2236-microsoft-patches-cosnitch-copilot-flaw-that-let-one-click-steal-connected-app