Microsoft heeft een kritieke kwetsbaarheid voor remote code execution gemeld die Entra ID treft, het cloudgebaseerde identity- en accessmanagementservice, en bevestigd dat de fout is verholpen.

De kwetsbaarheid, gevolgd als CVE-2026-69836, kreeg een CVSS-score van 10,0 — de hoogst mogelijke waardering. Volgens de security advisory van Microsoft kon de fout via een netwerk worden uitgebuit met lage aanvalskomplexiteit en waren geen privileges en geen gebruikersinteractie vereist, wat betekent dat een onbevoegde aanvaller zonder bestaande toegang tot de doelomgeving op afstand code kon uitvoeren.

Entra ID is het cloudidentiteitsplatform van Microsoft, voorheen bekend als Azure Active Directory, en fungeert als de aanmeld- en toegangslaag voor Microsoft 365, Azure en een groot aantal zakelijke toepassingen van derden. Omdat identiteitsplatforms stroomopwaarts liggen van de diensten die erop vertrouwen, krijgen beveiligingsfouten in systemen zoals Entra ID veel aandacht van enterprise securityteams.

De kwetsbaarheid had haar oorsprong in een deserialisatieprobleem. Deserialisatie is het proces waarbij data wordt omgezet naar een formaat dat een applicatie kan gebruiken; als de applicatie die data niet correct valideert, kan een aanvaller die manipuleren om kwaadaardige code uit te voeren. Deserialisatiefouten zijn een lang erkende klasse zwakheden — door MITRE gecatalogiseerd als CWE-502 — en zijn herhaaldelijk gebruikt om remote code execution te bereiken in veelgebruikte software.

Microsoft zei de kwetsbaarheid te hebben geïdentificeerd en verholpen vóór publicatie van de CVE. Cloudidentiteitsplatforms zijn eerder al doelwit geweest: in 2023 gebruikten aanvallers een gestolen Microsoft-tekeningsleutel om Azure AD-tokens te vervalsen — Azure AD was de naam van Entra ID vóór de rebranding — om toegang te krijgen tot de e-mail van ongeveer 25 organisaties, waaronder Amerikaanse overheidsinstanties. Na die inbraak lanceerde Microsoft zijn Secure Future Initiative, een bedrijfsbrede inspanning om producten en engineeringpraktijken te versterken.

"We identified and addressed this issue with a fix and released CVE-2026-69836 for greater transparency," een woordvoerder van Microsoft vertelde Decrypt in een verklaring. "There are no additional actions customers need to take." Omdat Entra ID draait als een beheerde clouddienst in plaats van software die klanten zelf installeren en onderhouden, werd de fix uitgerold op Microsofts infrastructuur — patching aan klantzijde was niet vereist.

Onderzoekers corrigeerden later de exploitatiestatus van de kwetsbaarheid van "Yes" naar "No", waarmee werd bevestigd dat deze niet in het wild was misbruikt — een wijziging die Microsoft omschreef als een "informational change only." Het bedrijf zei dat de fout niet publiekelijk was bekendgemaakt en beoordeelde uitbuiting als "less likely."

De melding komt op een moment dat kunstmatige intelligentie een steeds grotere rol speelt bij het vinden van beveiligingskwetsbaarheden, waarbij onderzoekers en technologiebedrijven AI-systemen gebruiken om fouten te identificeren die anders mogelijk onopgemerkt blijven.

In mei ontdekte een beveiligingsonderzoeker met behulp van Anthropic's Claude Opus 4.8 een vier jaar oude kwetsbaarheid in Zcash's Orchard privacy pool die een aanvaller had kunnen helpen om vervalste ZEC te creëren.

Microsoft ontwikkelt ook AI-tools voor het opsporen van kwetsbaarheden. In juli voegde het bedrijf zijn MAI-Cyber-1-Flash cybersecuritymodel toe aan MDASH, een systeem dat meer dan 100 AI-agents gebruikt om softwarekwetsbaarheden te vinden en te valideren.

Diezelfde maand meldde Anthropic dat Claude-modellen tijdens interne cybersecuritytests drie bedrijven hadden gecompromitteerd nadat een configuratiefout de modellen toegang tot het internet had gegeven.