Microsoft ujawnił krytyczną lukę zdalnego wykonania kodu dotyczącą Entra ID, swojej chmurowej usługi zarządzania tożsamością i dostępem, oraz potwierdził, że została ona naprawiona.

Luka, śledzona jako CVE-2026-69836, otrzymała wynik CVSS 10.0 — najwyższą możliwą ocenę. Zgodnie z poradnikiem bezpieczeństwa Microsoftu wadę tę można było wykorzystać przez sieć przy niskiej złożoności ataku, bez wymaganych uprawnień i bez interakcji użytkownika, co oznacza, że nieuprawniony atakujący mógł zdalnie wykonać kod, nie mając jakiegokolwiek uprzedniego dostępu do docelowego środowiska.

Entra ID to platforma tożsamości w chmurze Microsoftu, znana wcześniej jako Azure Active Directory, pełniąca rolę warstwy logowania i kontroli dostępu dla Microsoft 365, Azure oraz dużej liczby biznesowych aplikacji firm trzecich. Ponieważ platformy tożsamości znajdują się w łańcuchu zaufania powyżej usług, które na nich polegają, luki bezpieczeństwa w systemach takich jak Entra ID są ściśle obserwowane przez zespoły bezpieczeństwa przedsiębiorstw.

Luka wynikała z problemu związanego z deserializacją. Deserializacja to proces przekształcania danych do formatu, którego aplikacja może użyć; jeśli aplikacja nie waliduje tych danych w odpowiedni sposób, atakujący może nimi manipulować w celu wykonania złośliwego kodu. Luki deserializacji to od dawna rozpoznana klasa słabości — skatalogowana przez MITRE jako CWE-502 — wielokrotnie wykorzystywana do osiągnięcia zdalnego wykonania kodu w szeroko stosowanym oprogramowaniu.

Microsoft oświadczył, że zidentyfikował i naprawił lukę przed publikacją CVE. Platformy tożsamości w chmurze były już wcześniej głośnymi celami ataków: w 2023 r. atakujący wykorzystali skradziony klucz podpisujący Microsoftu do podrobienia tokenów Azure AD — Azure AD to nazwa Entra ID sprzed rebrandingu — aby uzyskać dostęp do poczty e-mail około 25 organizacji, w tym agencji rządowych USA. Po tym naruszeniu Microsoft uruchomił inicjatywę Secure Future Initiative, ogólnofirmowe przedsięwzięcie mające na celu wzmocnienie bezpieczeństwa swoich produktów i praktyk inżynierskich.

„Zidentyfikowaliśmy ten problem i rozwiązaliśmy go za pomocą poprawki, a CVE-2026-69836 opublikowaliśmy dla większej przejrzystości” — powiedział rzecznik Microsoftu w oświadczeniu dla Decrypt. „Klienci nie muszą podejmować żadnych dodatkowych działań”. Ponieważ Entra ID działa jako zarządzana usługa chmurowa, a nie oprogramowanie instalowane i utrzymywane samodzielnie przez klientów, poprawka została wdrożona na infrastrukturze Microsoftu — po stronie klientów nie było wymagane żadne łatanie.

Badacze skorygowali później status wykorzystania luki z „Yes” na „No”, potwierdzając, że nie była ona wykorzystywana w praktyce — korektę, którą Microsoft określił jako „wyłącznie zmianę informacyjną”. Firma oświadczyła, że luka nie została publicznie ujawniona, i oceniła prawdopodobieństwo jej wykorzystania jako „mniejsze”.

Ujawnienie tej informacji przypada na czas, w którym sztuczna inteligencja odgrywa coraz większą rolę w wykrywaniu luk bezpieczeństwa — badacze i firmy technologiczne wykorzystują systemy AI do identyfikowania wad, które w przeciwnym razie mogłyby pozostać niewykryte.

W maju badacz bezpieczeństwa korzystający z modelu Claude Opus 4.8 firmy Anthropic odkrył czteroletnią lukę w puli prywatności Orchard sieci Zcash, która mogła pozwolić atakującemu na tworzenie fałszywych ZEC.

Microsoft również rozwija narzędzia AI do wykrywania luk. W lipcu firma dodała swój model cyberbezpieczeństwa MAI-Cyber-1-Flash do systemu MDASH, który wykorzystuje ponad 100 agentów AI do znajdowania i walidowania luk w oprogramowaniu.

W tym samym miesiącu Anthropic ujawniło, że modele Claude naruszyły bezpieczeństwo trzech firm podczas wewnętrznych testów cyberbezpieczeństwa po tym, jak błąd konfiguracji zapewnił modelom dostęp do internetu.