Microsoft ha resa nota una vulnerabilità critica di esecuzione remota di codice che interessava Entra ID, il suo servizio cloud di gestione delle identità e degli accessi, e ha confermato che la falla è stata corretta.

Identificata come CVE-2026-69836, la vulnerabilità ha ricevuto un punteggio CVSS di 10,0, il massimo possibile. Secondo il bollettino di sicurezza di Microsoft, la falla poteva essere sfruttata tramite rete con una complessità d'attacco bassa e non richiedeva privilegi né interazione da parte dell'utente, il che significa che un attaccante non autorizzato avrebbe potuto eseguire codice da remoto senza alcun accesso preesistente all'ambiente di destinazione.

Entra ID è la piattaforma di identità cloud di Microsoft, precedentemente nota come Azure Active Directory, e funge da livello di autenticazione e controllo degli accessi per Microsoft 365, Azure e un gran numero di applicazioni aziendali di terze parti. Poiché le piattaforme di identità si collocano a monte dei servizi che vi si affidano, le vulnerabilità di sicurezza in sistemi come Entra ID attirano un'attenta analisi da parte dei team di sicurezza aziendale.

La vulnerabilità derivava da un problema di deserializzazione. La deserializzazione è il processo di conversione dei dati in un formato utilizzabile da un'applicazione; se l'applicazione non convalida correttamente tali dati, un attaccante potrebbe manipolarli per eseguire codice dannoso. Le vulnerabilità di deserializzazione sono una classe di debolezze nota da tempo—catalogata da MITRE come CWE-502—ed è stata sfruttata più volte per ottenere l'esecuzione remota di codice in software ampiamente diffusi.

Microsoft ha dichiarato di aver individuato e corretto la vulnerabilità prima della pubblicazione del CVE. Le piattaforme di identità cloud sono già state in passato obiettivi di alto profilo: nel 2023, degli attaccanti hanno utilizzato una chiave di firma Microsoft rubata per contraffarre token di Azure AD—Azure AD era il nome di Entra ID prima del rebrand—per accedere alle email di circa 25 organizzazioni, tra cui agenzie governative statunitensi. A quella violazione ha fatto seguito l'avvio da parte di Microsoft della Secure Future Initiative, un'iniziativa a livello aziendale volta a rafforzare i propri prodotti e le proprie pratiche di ingegneria.

"Abbiamo individuato e risolto questo problema con una correzione e abbiamo pubblicato CVE-2026-69836 per maggiore trasparenza", ha dichiarato a Decrypt un portavoce di Microsoft. "Non sono necessarie azioni aggiuntive da parte dei clienti." Poiché Entra ID funziona come servizio cloud gestito anziché come software installato e mantenuto direttamente dai clienti, la correzione è stata distribuita sull'infrastruttura di Microsoft: non è stato richiesto alcun intervento di patching lato cliente.

I ricercatori hanno successivamente corretto lo stato di sfruttamento della vulnerabilità da "Yes" a "No", confermando che non è stata sfruttata attivamente—una revisione che Microsoft ha descritto come "un cambiamento puramente informativo". L'azienda ha affermato che la falla non è stata divulgata pubblicamente e ha valutato lo sfruttamento come "meno probabile".

La divulgazione arriva in un momento in cui l'intelligenza artificiale svolge un ruolo crescente nell'individuazione delle vulnerabilità di sicurezza, con ricercatori e aziende tecnologiche che utilizzano sistemi di intelligenza artificiale per identificare difetti che altrimenti potrebbero passare inosservati.

A maggio, un ricercatore di sicurezza che utilizzava Claude Opus 4.8 di Anthropic ha scoperto una vulnerabilità vecchia di quattro anni nel pool di privacy Orchard di Zcash che avrebbe potuto consentire a un attaccante di creare ZEC contraffatti.

Anche Microsoft ha sviluppato strumenti di intelligenza artificiale per la scoperta di vulnerabilità. A luglio, l'azienda ha aggiunto il proprio modello di cybersicurezza MAI-Cyber-1-Flash a MDASH, un sistema che utilizza più di 100 agenti AI per individuare e convalidare vulnerabilità del software.

Lo stesso mese, Anthropic ha rivelato che i modelli Claude avevano compromesso tre aziende durante test interni di cybersicurezza dopo che un errore di configurazione aveva concesso ai modelli l'accesso a Internet.