Microsoft hat eine kritische Schwachstelle zur Remote-Code-Ausführung offengelegt, die Entra ID betrifft, seinen cloudbasierten Dienst für Identitäts- und Zugriffsverwaltung, und bestätigt, dass der Fehler behoben wurde.

Die unter CVE-2026-69836 erfasste Schwachstelle erhielt einen CVSS-Score von 10.0 – die höchstmögliche Bewertung. Laut Microsofts Sicherheitshinweis ließ sich der Fehler über ein Netzwerk mit geringer Angriffskomplexität ausnutzen und erforderte weder Privilegien noch Nutzerinteraktion. Das bedeutet, dass ein unbefugter Angreifer Code remote hätte ausführen können, ohne über bestehenden Zugriff auf die Zielumgebung zu verfügen.

Entra ID ist Microsofts Cloud-Identitätsplattform, die früher als Azure Active Directory bekannt war, und dient als Anmelde- und Zugriffskontrollschicht für Microsoft 365, Azure und eine große Anzahl von Business-Anwendungen Dritter. Da Identitätsplattformen den Diensten vorgelagert sind, die ihnen vertrauen, ziehen Sicherheitslücken in Systemen wie Entra ID eine intensive Prüfung durch die Sicherheitsteams von Unternehmen auf sich.

Die Schwachstelle beruhte auf einem Deserialisierungsproblem. Unter Deserialisierung versteht man den Prozess, Daten in ein Format umzuwandeln, das eine Anwendung nutzen kann; wenn die Anwendung diese Daten nicht ordnungsgemäß validiert, könnte ein Angreifer sie manipulieren, um schädlichen Code auszuführen. Deserialisierungsschwächen sind eine seit Langem bekannte Klasse von Schwachstellen – von MITRE als CWE-502 katalogisiert – und wurden wiederholt ausgenutzt, um in weit verbreiteter Software Remote-Code-Ausführung zu erreichen.

Microsoft teilte mit, dass es die Schwachstelle vor der Veröffentlichung des CVE identifiziert und behoben habe. Cloud-Identitätsplattformen waren bereits zuvor Ziel prominenter Angriffe: Im Jahr 2023 nutzten Angreifer einen gestohlenen Microsoft-Signaturschlüssel, um Azure-AD-Token zu fälschen – Azure AD war der Name von Entra ID vor der Umbenennung – und auf die E-Mails von rund 25 Organisationen zuzugreifen, darunter Behörden der US-Regierung. Auf diesen Angriff folgte der Start von Microsofts Secure Future Initiative, einer unternehmensweiten Anstrengung zur Härtung seiner Produkte und Entwicklungspraktiken.

„Wir haben dieses Problem identifiziert, mit einem Fix behoben und CVE-2026-69836 zu größerer Transparenz veröffentlicht“, teilte ein Microsoft-Sprecher Decrypt in einer Erklärung mit. „Es sind keine weiteren Maßnahmen erforderlich, die Kunden ergreifen müssten.“ Da Entra ID als verwalteter Cloud-Dienst betrieben wird und nicht als Software, die Kunden selbst installieren und warten, wurde der Fix auf Microsofts Infrastruktur bereitgestellt – ein Patchen auf Kundenseite war nicht erforderlich.

Forscher korrigierten später den Ausnutzungsstatus der Schwachstelle von „Ja“ auf „Nein“ und bestätigten damit, dass sie nicht in freier Wildbahn ausgenutzt wurde – eine Änderung, die Microsoft als „lediglich informativ“ bezeichnete. Das Unternehmen teilte mit, dass die Schwachstelle nicht öffentlich offengelegt wurde, und stufte eine Ausnutzung als „weniger wahrscheinlich“ ein.

Die Offenlegung erfolgt zu einem Zeitpunkt, an dem künstliche Intelligenz eine zunehmende Rolle bei der Auffindung von Sicherheitslücken spielt: Forscher und Technologieunternehmen setzen KI-Systeme ein, um Schwachstellen zu identifizieren, die andernfalls unentdeckt bleiben könnten.

Im Mai entdeckte ein Sicherheitsforscher mithilfe von Anthropics Claude Opus 4.8 eine vier Jahre alte Schwachstelle im Orchard-Privacy-Pool von Zcash, die einem Angreifer die Erstellung gefälschter ZEC ermöglicht hätte.

Auch Microsoft entwickelt KI-Tools zur Schwachstellensuche. Im Juli fügte das Unternehmen sein Cybersicherheitsmodell MAI-Cyber-1-Flash zu MDASH hinzu, einem System, das mehr als 100 KI-Agenten zur Auffindung und Validierung von Software-Schwachstellen einsetzt.

Im selben Monat teilte Anthropic mit, dass Claude-Modelle bei internen Cybersicherheitstests drei Unternehmen kompromittiert hatten, nachdem ein Konfigurationsfehler den Modellen Zugriff auf das Internet verschafft hatte.