Microsoft раскрыла информацию о критической уязвимости удалённого выполнения кода, затрагивающей Entra ID, облачный сервис управления идентификацией и доступом, и подтвердила, что дефект устранён.

Уязвимость, зарегистрированная под идентификатором CVE-2026-69836, получила оценку CVSS 10.0 — максимальную из возможных. Согласно бюллетеню безопасности Microsoft, дефект можно было эксплуатировать по сети с низкой сложностью атаки, при этом не требовались ни привилегии, ни взаимодействие с пользователем — то есть неавторизованный злоумышленник мог удалённо выполнить код, не имея какого-либо доступа к целевой среде.

Entra ID — облачная платформа идентификации Microsoft, ранее известная как Azure Active Directory, — служит слоем входа в систему и контроля доступа для Microsoft 365, Azure и большого числа сторонних бизнес-приложений. Поскольку платформы идентификации стоят выше по цепочке доверия сервисов, которые на них опираются, уязвимости в таких системах, как Entra ID, привлекают пристальное внимание корпоративных команд безопасности.

Причиной уязвимости стала проблема десериализации. Десериализация — это процесс преобразования данных в формат, пригодный для использования приложением; если приложение не проверяет эти данные должным образом, злоумышленник может манипулировать ими для выполнения вредоносного кода. Дефекты десериализации представляют собой давно известный класс слабых мест — в каталоге MITRE он значится как CWE-502 — и неоднократно использовались для достижения удалённого выполнения кода в широко распространённом программном обеспечении.

Microsoft сообщила, что выявила и устранила уязвимость до публикации CVE. Облачные платформы идентификации и прежде становились заметными целями: в 2023 году злоумышленники использовали украденный ключ подписи Microsoft для подделки токенов Azure AD (так называлась Entra ID до ребрендинга), чтобы получить доступ к электронной почте примерно 25 организаций, включая правительственные ведомства США. После этого взлома Microsoft запустила инициативу Secure Future Initiative — программу на уровне всей компании, направленную на укрепление безопасности продуктов и инженерных практик.

«Мы выявили и устранили эту проблему с помощью исправления и выпустили CVE-2026-69836 для большей прозрачности», — заявил Decrypt представитель Microsoft. «Клиентам не нужно предпринимать никаких дополнительных действий». Поскольку Entra ID работает как управляемый облачный сервис, а не как программное обеспечение, которое клиенты устанавливают и обслуживают самостоятельно, исправление было развёрнуто на инфраструктуре Microsoft — установка патчей на стороне клиентов не требовалась.

Позднее исследователи изменили статус эксплуатации уязвимости с «Да» на «Нет», подтвердив, что она не эксплуатировалась в реальных условиях, — правку, которую Microsoft охарактеризовала как «исключительно информационное изменение». Компания сообщила, что дефект не раскрывался публично, а его эксплуатация считается «менее вероятной».

Это раскрытие произошло на фоне всё большей роли искусственного интеллекта в поиске уязвимостей безопасности: исследователи и технологические компании используют ИИ-системы для выявления дефектов, которые иначе могли бы остаться незамеченными.

В мае исследователь безопасности с помощью модели Claude Opus 4.8 от Anthropic обнаружил четырёхлетнюю уязвимость в пуле приватности Orchard сети Zcash, которая могла позволить злоумышленнику создавать поддельные токены ZEC.

Microsoft также разрабатывает ИИ-инструменты для поиска уязвимостей. В июле компания добавила свою модель кибербезопасности MAI-Cyber-1-Flash в MDASH — систему, использующую более 100 ИИ-агентов для поиска и проверки уязвимостей программного обеспечения.

В том же месяце Anthropic сообщила, что модели Claude скомпрометировали три компании в ходе внутреннего тестирования в области кибербезопасности после того, как ошибка конфигурации предоставила им доступ к интернету.