微软披露了一个影响其云端身份与访问管理服务Entra ID的严重远程代码执行漏洞,并确认该缺陷已被修复。

该漏洞编号为CVE-2026-69836,CVSS评分为10.0——即可能的最高评级。根据微软的安全公告,该缺陷可通过网络利用,攻击复杂度低,且无需任何权限和用户交互,这意味着未经授权的攻击者无需对目标环境拥有任何既有访问权限,即可远程执行代码。

Entra ID是微软的云身份平台,前身为Azure Active Directory,是Microsoft 365、Azure以及大量第三方业务应用的登录与访问控制层。由于身份平台位于信任它们的服务上游,Entra ID这类系统中的安全缺陷会受到企业安全团队的严格审视。

该漏洞源于一个反序列化问题。反序列化是将数据转换为应用程序可用格式的过程;如果应用程序未对数据进行正确验证,攻击者便可能操纵这些数据以执行恶意代码。反序列化缺陷是一类早已被认知的弱点——MITRE将其编目为CWE-502——并曾多次被利用在广泛使用的软件中实现远程代码执行。

微软表示,其在发布该CVE之前就已识别并修复了这一漏洞。云身份平台此前就曾是备受瞩目的攻击目标:2023年,攻击者利用窃取的微软签名密钥伪造Azure AD令牌(Azure AD是Entra ID更名前的名称),访问了包括美国政府机构在内的约25个组织的电子邮件。该事件发生后,微软启动了“安全未来计划”(Secure Future Initiative),这是一项旨在强化其产品和工程实践的全公司范围的举措。

“我们已经通过修复程序识别并解决了这一问题,并发布了CVE-2026-69836以提高透明度,”微软发言人在一份声明中对Decrypt表示。“客户无需采取任何额外行动。”由于Entra ID是以托管云服务而非客户自行安装和维护的软件形式运行,修复程序已部署在微软自己的基础设施上,无需客户侧进行任何补丁操作。

研究人员随后将该漏洞的利用状态从“是”修正为“否”,确认其未在野外被利用——微软称此次修订“仅为信息性变更”。该公司表示,该缺陷未被公开披露,并评估其被利用的可能性“较低”。

此次披露正值人工智能在发现安全漏洞方面发挥越来越大作用之际,研究人员和科技公司正利用AI系统识别那些原本可能无法被察觉的缺陷。

5月,一名安全研究人员使用Anthropic的Claude Opus 4.8在Zcash的Orchard隐私池中发现了一个已存在四年的漏洞,该漏洞本可能允许攻击者伪造ZEC。

微软也一直在开发用于漏洞发现的AI工具。7月,该公司将其网络安全模型MAI-Cyber-1-Flash加入MDASH——一个使用100多个AI智能体来发现并验证软件漏洞的系统。

同月,Anthropic披露,在一次配置错误使模型获得互联网访问权限后,Claude模型在内部网络安全测试中攻陷了三家公司。