Microsoft a divulgué une vulnérabilité critique d’exécution de code à distance affectant Entra ID, son service cloud de gestion des identités et des accès, et a confirmé que la faille avait été corrigée.

Référencée CVE-2026-69836, la vulnérabilité a reçu un score CVSS de 10.0 — la note maximale possible. Selon l'avis de sécurité de Microsoft, la faille pouvait être exploitée via le réseau avec une faible complexité d’attaque et ne nécessitait ni privilèges ni interaction utilisateur, ce qui signifie qu’un attaquant non autorisé pouvait exécuter du code à distance sans aucun accès préalable à l’environnement cible.

Entra ID est la plateforme d’identité cloud de Microsoft, anciennement connue sous le nom d’Azure Active Directory, et constitue la couche de connexion et de contrôle d’accès pour Microsoft 365, Azure et de nombreuses applications professionnelles tierces. Parce que les plateformes d’identité se situent en amont des services qui leur font confiance, les failles de sécurité dans des systèmes comme Entra ID font l’objet d’un examen attentif de la part des équipes de sécurité d’entreprise.

La vulnérabilité provenait d’un problème de désérialisation. La désérialisation consiste à convertir des données dans un format exploitable par une application ; si l’application ne valide pas correctement ces données, un attaquant peut les manipuler pour exécuter du code malveillant. Les failles de désérialisation sont une catégorie de vulnérabilité reconnue de longue date — répertoriée par MITRE sous CWE-502 — et ont été maintes fois exploitées pour obtenir une exécution de code à distance dans des logiciels largement utilisés.

Microsoft a indiqué avoir identifié et corrigé la vulnérabilité avant la publication du CVE. Les plateformes d’identité cloud ont déjà été des cibles très médiatisées : en 2023, des attaquants ont utilisé une clé de signature Microsoft volée pour forger des jetons Azure AD — Azure AD étant le nom d’Entra ID avant le changement de marque — afin d’accéder aux e-mails d’environ 25 organisations, dont des agences du gouvernement américain. Cette compromission a été suivie par le lancement par Microsoft de son Secure Future Initiative, un effort à l’échelle de l’entreprise visant à renforcer ses produits et ses pratiques d’ingénierie.

« Nous avons identifié et corrigé ce problème avec un correctif et publié CVE-2026-69836 pour davantage de transparence », a déclaré un porte-parole de Microsoft à Decrypt dans un communiqué. « Les clients n’ont aucune autre action à entreprendre. » Comme Entra ID fonctionne comme un service cloud géré plutôt que comme un logiciel que les clients installent et maintiennent eux-mêmes, le correctif a été déployé sur l’infrastructure de Microsoft — aucun correctif côté client n’était nécessaire.

Les chercheurs ont ensuite corrigé le statut d’exploitation de la vulnérabilité, le faisant passer de « Yes » à « No », confirmant qu’elle n’avait pas été exploitée dans la nature — une révision que Microsoft a qualifiée de « simple changement d’information ». L’entreprise a déclaré que la faille n’avait pas été divulguée publiquement et a estimé que son exploitation était « moins probable ».

Cette divulgation intervient alors que l’intelligence artificielle joue un rôle croissant dans la découverte de vulnérabilités de sécurité, les chercheurs et les entreprises technologiques utilisant des systèmes d’IA pour identifier des failles qui pourraient autrement passer inaperçues.

En mai, un chercheur en sécurité utilisant Claude Opus 4.8 d’Anthropic a découvert une vulnérabilité vieille de quatre ans dans le pool de confidentialité Orchard de Zcash, qui aurait pu permettre à un attaquant de créer des ZEC contrefaits.

Microsoft développe également des outils d’IA pour la découverte de vulnérabilités. En juillet, l’entreprise a ajouté son modèle de cybersécurité MAI-Cyber-1-Flash à MDASH, un système qui utilise plus de 100 agents IA pour trouver et valider des vulnérabilités logicielles.

Le même mois, Anthropic a indiqué que des modèles Claude avaient compromis trois entreprises lors de tests internes de cybersécurité après qu’une erreur de configuration leur a donné accès à Internet.